# Il 90% delle infezioni ai CMS colpisce sempre lo stesso bersaglio

Molte piccole imprese si trovano nella stessa situazione senza accorgersene: hanno un sito WordPress che funziona, viene aggiornato quando capita, e nessuno in azienda si chiede più di tanto cosa succeda dietro le quinte. Finché tutto va bene, sembra un dettaglio tecnico che riguarda solo chi ha realizzato il sito. Poi arriva una violazione, e si scopre che il problema è sempre stato nell'architettura del sito.

## Una falla che riguarda mezzo miliardo di siti

Nelle scorse settimane un ricercatore di sicurezza ha reso pubblica una vulnerabilità critica nel core stesso di WordPress: una falla che permette l'esecuzione di codice remoto da parte di un attaccante anonimo, senza bisogno di credenziali, su un'installazione pulita, senza nemmeno un plugin di terze parti. Riguarda circa 500 milioni di siti nelle versioni interessate. Nello stesso periodo, Cloudflare ha dovuto rilasciare regole firewall dedicate per altre due vulnerabilità critiche, sempre su WordPress, sempre sfruttabili da remoto.

## Dove si concentra davvero il rischio

Secondo il report sulle infezioni malware di Sucuri, **oltre il 90%** dei siti compromessi rilevati su tutti i CMS analizzati gira su WordPress. Il dato da solo potrebbe sembrare ingiusto verso una piattaforma che, dopotutto, alimenta quasi la metà del web. Ma un secondo dato lo rende più preciso: secondo il rapporto Patchstack sullo stato della sicurezza WordPress, il 91% delle vulnerabilità individuate nel 2025 riguardava plugin di terze parti, una quota che lascia al core del software un ruolo marginale. E il tempo medio tra la divulgazione pubblica di una falla e il primo attacco su larga scala è di **sole cinque ore**.

Questo significa una cosa precisa: più un sito accumula plugin, temi, integrazioni e componenti esterni nel tempo, più cresce la sua superficie d'attacco, indipendentemente da quanto sia curato il contenuto pubblicato. Ogni elemento aggiunto è un potenziale punto d'ingresso in più, e la finestra per applicare una patch prima che qualcuno la sfrutti si è ristretta a poche ore. Rincorrere gli aggiornamenti settimana dopo settimana, per una piccola impresa senza un reparto IT dedicato, è quasi impossibile da sostenere con costanza.

## Un'architettura che elimina il problema alla radice

C'è però una domanda che vale la pena farsi prima di continuare a rincorrere patch e aggiornamenti: quella superficie d'attacco è davvero necessaria per pubblicare un sito editoriale, un blog aziendale o le pagine di presentazione dei propri servizi? **Nella maggior parte dei casi, no.** Un sito che genera pagine statiche invece di eseguire codice PHP e interrogare un database a ogni visita elimina alla radice la categoria di attacco più diffusa: se in produzione non c'è nulla da eseguire, non c'è quasi nulla da sfruttare. Non serve più rincorrere aggiornamenti di sicurezza su plugin che nessuno ricorda più di aver installato.

## Cosa cambia con RawPress

È il principio su cui lavora RawPress CMS, lo strumento sviluppato internamente da EBM Solution per chi scrive contenuti in locale e pubblica solo file HTML già pronti, senza mai esporre un server dinamico online. La migrazione da un sito WordPress esistente mantiene permalink, meta SEO e struttura dei contenuti, con un tempo di configurazione stimato tra una e due ore: un dettaglio che pesa, perché il timore più comune in chi valuta di cambiare piattaforma è perdere il posizionamento faticosamente costruito nel tempo.

Per chi gestisce un sito aziendale da qualche anno, conta meno stabilire se WordPress sia una buona scelta in generale. Conta più chiedersi se la propria installazione, con i plugin accumulati nel tempo, meriti ancora di restare esposta online ventiquattr'ore su ventiquattro.

Lo stesso principio vale quando i dispositivi entrano negli spazi di vita: [la sicurezza nell'ambient computing](/ecorner/2023/considerazioni-su-ambient-computing-riservatezza-e-sicurezza.html) pone problemi di riservatezza che una patch non risolve.

## Domande frequenti

**WordPress è una piattaforma poco sicura rispetto ad altri CMS?**
Il problema riguarda soprattutto l'accumulo di plugin e componenti di terze parti nel tempo, che allarga progressivamente la superficie esposta agli attacchi, indipendentemente dalla piattaforma scelta. Il codice del core, secondo i dati Patchstack, rappresenta invece solo una quota minima delle vulnerabilità individuate.

**Cosa significa in pratica "superficie di attacco" per un sito aziendale?**
È l'insieme dei punti attraverso cui un sistema può essere raggiunto da un attaccante: codice eseguito lato server, un database interrogabile, plugin con permessi di scrittura. Più questi punti crescono nel tempo, più aumentano le occasioni per un accesso non autorizzato.

**Passare da WordPress a un sito statico significa perdere il posizionamento sui motori di ricerca?**
Una migrazione ben fatta mantiene permalink, meta tag e struttura dei contenuti esistenti, così i motori di ricerca continuano a trovare le stesse pagine agli stessi indirizzi. È uno degli aspetti su cui vale la pena verificare con attenzione lo strumento di migrazione scelto.

**Un sito statico può ancora gestire funzionalità dinamiche come moduli di contatto o e-commerce?**
Sì, attraverso moduli sviluppati separatamente e affiancati alla parte statica del sito, mantenendo isolata la superficie d'attacco della parte editoriale principale dalle funzionalità che richiedono effettivamente logica lato server.

## Fonti

Searchlight Cyber — WP2Shell: analisi tecnica di una vulnerabilità critica di esecuzione di codice remoto pre-autenticazione nel core di WordPress — https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/
Cloudflare — regole firewall dedicate rilasciate per due vulnerabilità WordPress ad alta gravità sfruttabili da remoto — https://blog.cloudflare.com/wordpress-vulnerabilities/
Sucuri — report sulle infezioni malware rilevate sui siti web, con il confronto tra CMS e la quota di compromissioni su WordPress — https://sucuri.net/reports/2023-hacked-website-report/
Patchstack — rapporto sullo stato della sicurezza WordPress 2026, con la ripartizione delle vulnerabilità tra core e plugin di terze parti — https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
RawPress CMS — strumento di EBM Solution per la pubblicazione di siti statici e la migrazione da installazioni WordPress esistenti — https://rawpress.ebmsolution.com/