Le vulnerabilità di WordPress calano del 24% nel secondo trimestre mentre gli attacchi aumentano
L'ultimo rapporto di intelligence sulle minacce alla sicurezza di WordPress di Wordfence copre il secondo trimestre del 2026 e dipinge un quadro contrastante per i proprietari di siti. Mentre il numero totale di nuove vulnerabilità WordPress divulgate è diminuito del 24,3% rispetto al primo trimestre, attestandosi a 2.073, i difetti più pericolosi e l'attività di attacco nel mondo reale sono aumentati. Wordfence, che gestisce una delle più grandi reti di sicurezza specifiche per WordPress, ha compilato il rapporto a partire da dati di telemetria degli attacchi e dati sulle vulnerabilità raccolti su milioni di siti web protetti.
Panorama delle vulnerabilità: meno divulgazioni, ma più difetti ad alto rischio
Wordfence ha aggiunto 2.073 vulnerabilità al suo database di intelligence durante il secondo trimestre del 2026. L'azienda è stata responsabile della correzione e della divulgazione del 47,4% di tali vulnerabilità. Tra queste, 182 sono state classificate come vulnerabilità ad alto rischio, il che significa che è molto probabile che gli aggressori le prendano di mira e che possano portare alla compromissione completa del sito con il minimo sforzo. Tale numero è aumentato del 15,2% rispetto al trimestre precedente. Altre 357 erano vulnerabilità comuni e pericolose, una categoria che include difetti spesso presenti nei plugin e nei temi WordPress e comunque attraenti per gli aggressori in cerca di bersagli facili; tale cifra è balzata dell'80,3% su base trimestrale. Wordfence ha divulgato il 53,3% delle vulnerabilità ad alto rischio e il 32,2% di quelle comuni e pericolose.
Alla fine del secondo trimestre, 149 vulnerabilità segnalate rimanevano senza patch, il che, secondo il rapporto, evidenzia il valore di uno scanner di sicurezza che avvisi i proprietari di siti quando è presente una vulnerabilità non corretta, in modo che possano rimuovere il software interessato. La maggior parte delle vulnerabilità divulgate nel secondo trimestre richiedeva un accesso non autenticato per essere sfruttata, il che significa che un aggressore non ha bisogno di alcun account utente sul sito per lanciare un attacco. Questo schema è stato lo stesso del primo trimestre del 2026. I plugin sono stati il tipo di software più comunemente interessato, come al solito, con temi e core di WordPress che rappresentano una quota minore.
Il rapporto elenca le prime 10 classi di vulnerabilità del trimestre. Il cross-site scripting (CWE-79), in cui gli aggressori iniettano script nelle pagine web visualizzate da altri, è stato il più comune con 600 casi. Seguono la mancata autorizzazione (CWE-862) con 416, quindi l'iniezione SQL (CWE-89) con 213, la cross-site request forgery (CWE-352) con 121, la deserializzazione di dati non attendibili (CWE-502) con 103, l'inclusione di file remoti PHP (CWE-98) con 101, l'esposizione di informazioni sensibili (CWE-200) con 87, il bypass dell'autorizzazione tramite chiave controllata dall'utente (CWE-639) con 85, il path traversal (CWE-22) con 76 e il caricamento di file senza restrizioni (CWE-434) con 51.
Wordfence monitora anche il coinvolgimento dei fornitori con il suo Vulnerability Management Portal. Nel secondo trimestre, 133 fornitori si sono registrati per gestire la sicurezza del loro software WordPress tramite il portale, con un calo dell'11,9% rispetto al trimestre precedente, coprendo 412 plugin e temi distinti, in calo del 25,6%. I fornitori che si registrano ricevono avvisi in tempo reale quando viene scoperta una nuova vulnerabilità nel loro software.
Telemetria di firewall e attacchi: i tentativi di exploit crescono
Il Web Application Firewall (WAF) di Wordfence, che filtra il traffico verso un sito WordPress e blocca le richieste dannose, ha bloccato o registrato 10,4 miliardi di richieste di exploit e sondaggio nel secondo trimestre, con un aumento del 14,3% rispetto al primo trimestre. Il firewall ha rilasciato 16 nuove regole WAF durante il trimestre, in calo del 27,3% rispetto al trimestre precedente. Inoltre, 3,1 miliardi di richieste sono state bloccate dal feed di minacce IP, con un calo del 7,0%. Il numero di indirizzi IP univoci coinvolti negli attacchi WAF ha raggiunto 19,7 milioni, in aumento del 16,7%, e gli IP univoci provenienti dalla blocklist di Wordfence sono aumentati del 58,9% a 353.000. Gli user agent univoci, che sono le stringhe identificative inviate da browser e bot, sono aumentati del 263,7% a 72,9 milioni.
I primi 10 user agent impegnati nello sfruttamento delle vulnerabilità sono elencati con il numero di richieste. Il più attivo è stato una stringa user agent di Safari mobile, spesso associata a traffico automatizzato, che ha generato 1.329.501.815 richieste. Seguono Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.86 con 723.929.095, curl/8.7.1 con 532.032.669, Chrome 120.0.0.0 con 408.187.867, Chrome 126.0.0.0 con 310.476.820, Chrome 131.0.0.0 con 178.527.122, di nuovo la stessa stringa di Safari mobile con 150.640.717, Chrome 123.0.6312.86 ripetuto con 136.301.524, Mozilla generico con 121.666.197 e Chrome 133.0.0.0 con 113.914.440.
Il rapporto nomina anche le prime 10 vulnerabilità univoche prese di mira dagli aggressori, classificate per richieste bloccate. La vulnerabilità del plugin LiteSpeed Cache (escalation di privilegi non autenticata nelle versioni fino alla 6.3.0.1) è stata di gran lunga la più presa di mira, con 49.711.496 richieste bloccate. Seguono WPGraphQL (fino alla 0.2.3) con 29.403.849, N-Media Post Front-end Form (prima della 1.1) con 23.130.942, WooCommerce Payments (dalla 4.8.0 alla 5.6.1) con 12.610.278, SureTriggers (fino alla 1.0.78) con 10.602.932, Ninja Forms (fino alla 3.5.7) con 9.975.128, Rank Math SEO (fino alla 1.0.40.2) con 7.110.040, POST SMTP Mailer (fino alla 2.8.7) con 4.890.917, Discount Rules for WooCommerce (fino alla 2.0.2) con 3.797.139 e Envato Elements (fino alla 2.0.10) con Template Kit (fino alla 1.0.13) a 1.742.988. L'indirizzo IP attaccante più attivo, 45.88.138.44, ha inviato 134.891.593 richieste.
Attacchi alle password: la forza bruta rimane una minaccia importante
Wordfence ha bloccato 18,2 miliardi di attacchi di forza bruta nel secondo trimestre, con un aumento del 13,8% rispetto al trimestre precedente. Un attacco di forza bruta è un tentativo automatizzato di indovinare le password provando molte combinazioni. Il numero di indirizzi IP univoci coinvolti in questi attacchi alle password è aumentato del 55,9% a 106,2 milioni, mentre il numero medio di richieste per IP è diminuito del 27,0% a 171. Il rapporto osserva che i maggiori volumi di attacco provengono da botnet, ma i grafici di distribuzione geografica sono mostrati per i principali paesi. Il plugin gratuito di Wordfence include funzionalità per bloccare le password compromesse note e limitare i tentativi di accesso.
Intelligence sul malware: i siti infetti aumentano
Le firme malware di Wordfence hanno rilevato 573.000 siti distinti con malware nel secondo trimestre, con un aumento del 21,0% rispetto al primo trimestre. Il conteggio totale dei file malware univoci ha raggiunto 31,6 milioni, in aumento del 15,2%. Wordfence ha rilasciato 85 nuove firme malware durante il trimestre, con un calo del 4,5% rispetto al trimestre precedente. In media, un sito infetto aveva 49,3 file infetti (in calo del 4,8%) e 2,2 varianti di malware per sito (in calo del 7,8%). I file PHP sono stati il tipo di malware più comunemente rilevato; il rapporto osserva che i file PHP sono spesso associati a webshell, backdoor, infostealer e card skimmer, mentre i file JavaScript e HTML sono più spesso collegati allo spam. Il rapporto evidenzia anche dove il malware viene più comunemente caricato, sebbene i dettagli del grafico siano nel PDF completo.
Cosa dovrebbero fare i proprietari di siti
Il rapporto di Wordfence si chiude con raccomandazioni pratiche: mantenere plugin e temi aggiornati regolarmente, abilitare l'autenticazione a due fattori (2FA) per tutti gli account utente, eseguire scansioni di sicurezza regolari, utilizzare password forti e univoche e fare affidamento su un web application firewall come Wordfence per bloccare gli attacchi prima che le vulnerabilità vengano corrette e per fornire un monitoraggio continuo. Il rapporto ricorda inoltre ai proprietari di siti che la sicurezza completa richiede sia protezione che rilevamento: un firewall blocca la compromissione iniziale, ma è necessario uno scanner malware per individuare un sito che è già stato violato. Wordfence offre piani Free, Premium, Care e Response; il livello gratuito include un WAF che blocca il 95% delle minacce note fin da subito, la scansione malware e l'autenticazione a due fattori, con un ritardo di 30 giorni sulle nuove firme. Premium fornisce aggiornamenti in tempo reale e un registro di controllo, Care aggiunge monitoraggio e correzione 24 ore su 24, e Response aggiunge una risposta agli incidenti in un'ora.
Per i proprietari di siti che desiderano che gran parte di questa protezione sia gestita per loro, i servizi di hosting WordPress gestito possono ridurre il carico operativo. AEU Hosting, ad esempio, include backup automatici, rafforzamento della sicurezza, certificati SSL e ottimizzazione delle prestazioni a livello di server, e il suo team di supporto può aiutare i proprietari di siti a rispondere rapidamente quando viene divulgata una grave vulnerabilità di un plugin. Ciò non sostituisce un firewall o uno scanner malware a livello applicativo, ma elimina parte dell'onere di manutenzione ricorrente.