Il ritardo negli aggiornamenti di WordPress lascia le correzioni di sicurezza in ritardo di sei ore

Un ritardo negli aggiornamenti di WordPress, iniziato come una sospensione di 24 ore sul rilascio di plugin e temi, è stato ridotto a circa sei ore, ma le correzioni di sicurezza attendono ancora nella stessa coda delle modifiche di routine, secondo le misurazioni pubblicate da Patchstack. WordPress.org ha introdotto la politica, chiamata Protect The Shire, il 5 giugno 2026. Si applica a circa 78.000 plugin e temi nel directory di WordPress.org. Con questa politica, ogni nuova versione attende prima di essere servita attraverso il meccanismo di aggiornamento, e l'attesa riguarda sia gli aggiornamenti automatici che il pulsante manuale 'Aggiorna ora', poiché entrambi sono controllati dallo stesso orologio.

Patchstack non si è affidata alle dichiarazioni di WordPress.org sulla sospensione. Invece, l'azienda l'ha misurata direttamente. I tempi medi giornalieri di attesa sono rimasti stabili a circa 24,2-24,5 ore dal 7 al 15 luglio, poi sono scesi bruscamente a circa 6,6-6,8 ore a partire dal 16 luglio. Questo è stato un cambiamento in un solo giorno, senza una graduale riduzione, visibile su centinaia di rilasci al giorno. La logica di sicurezza dietro la sospensione è semplice: i plugin sono stati venduti a nuovi proprietari che inseriscono silenziosamente backdoor, e lo sviluppo assistito dall'IA rende più facile introdurre codice malevolo in una versione senza essere notati. Una pausa prima che una versione raggiunga ogni sito è una risposta sensata a questo rischio della supply chain.

Protect The Shire sembra aiutare contro gli attacchi alla supply chain. Il 28 luglio, Wordfence ha rilevato una backdoor inserita nel plugin Advanced Responsive Video Embedder, che ha circa 20.000 installazioni. Il codice malevolo è stato rilevato due ore dopo il suo arrivo ed è stato assegnato CVE-2026-18072 con un punteggio di gravità CVSS di 9,8, consentendo la completa compromissione dell'amministratore tramite una singola richiesta. WordPress.org ha rimosso il plugin lo stesso giorno, e non era ancora stato distribuito ampiamente tramite aggiornamento automatico. Patchstack non può dimostrare che la sospensione abbia causato il salvataggio, ma i tempi sono coerenti con la politica che fa il suo dovere. Tuttavia, Patchstack nota che questo è un caso documentato, non un modello, e il raggio d'azione ridotto è piccolo rispetto all'esposizione che la stessa politica crea attualmente.

Il problema è che i rilasci malevoli e le vulnerabilità divulgate sono minacce diverse, ma Protect The Shire le tratta in modo identico. Patchstack ha monitorato 114 rilasci risolti e ha scoperto che gli aggiornamenti di plugin e temi sono stati trattenuti per una mediana di 24,4 ore. L'azienda ha specificamente verificato se le correzioni di sicurezza divulgate ricevessero un trattamento più rapido rispetto ai rilasci di routine. Non è stato così. I rilasci di sicurezza confermati e gli aggiornamenti ordinari hanno entrambi atteso circa 24,4 ore prima del 16 luglio, e circa 6,8 ore dopo. In una finestra di 17 giorni, 81 rilasci che correggevano una CVE divulgata sono passati attraverso questo ritardo, 49 sotto la vecchia finestra di 24 ore e 32 sotto quella più breve. Questi rilasci coprivano 79 plugin distinti con una base di installazione combinata di circa 9,9 milioni. Trenta delle correzioni avevano un punteggio CVSS di 7,0 o superiore, nove di 9,0 o superiore, e una era un perfetto 10,0 per la cancellazione arbitraria di file. Patchstack tiene a precisare che la base di installazione combinata descrive i conteggi di installazione su quei plugin, non i siti confermati vulnerabili, e una reinstallazione manuale può bypassare completamente il ritardo.

Due esempi concreti mostrano come appare in pratica. La pagina del plugin AcyMailing e la sua API di informazioni sul plugin mostravano entrambe la versione 10.11.1, la correzione per una SQL injection non autenticata, mentre l'API di controllo aggiornamenti serviva ancora la versione 10.11.0, quella vulnerabile. Il plugin Page View Count faceva lo stesso: la sua pagina mostrava la versione 2.9.2, ma il controllo aggiornamenti rimaneva sulla 2.9.1, la versione con un bug di modifica delle impostazioni a bassi privilegi. Un terzo caso, contact-form-7-mailchimp-extension, tracciato come CVE-2026-15000 per cross-site scripting memorizzato, è stato trattenuto per 24,5 ore. Patchstack non ha trovato prove di sfruttamento attivo durante queste finestre di attesa, ma ha notato un importante inverso: l'unica vulnerabilità che hanno visto sotto sfruttamento attivo durante questo periodo era un problema del core di WordPress la cui correzione era già auto-aggiornabile, quindi il ritardo non l'ha intercettata.

Il divario di velocità è netto. Patchstack sottolinea che il tempo mediano per lo sfruttamento di massa delle vulnerabilità pesantemente sfruttate è di cinque ore. Per una vulnerabilità critica del core di WordPress divulgata da Patchstack a luglio, i tentativi di sfruttamento reali sono iniziati 90 minuti dopo il rilascio della versione corretta, e tre ore dopo il commit della correzione. Gli aggiornamenti del core non sono soggetti alla stessa sospensione degli aggiornamenti dei plugin, ma la lezione si trasferisce: una volta che una correzione è pubblica, gli aggressori hanno bisogno di minuti, non ore. Il problema si espande per le agenzie e gli hosting che gestiscono WordPress su larga scala. I loro strumenti si basano sullo stesso meccanismo di aggiornamento che WordPress.org ha sospeso. Se il livello sottostante è cieco a una correzione per sei ore, anche lo strumento costruito per muoversi più velocemente è cieco. Per un'azienda di hosting, ciò significa un punto cieco di sei ore su ogni account cliente che esegue il plugin interessato, non solo su un sito.

Patchstack raccomanda di esentare le correzioni di vulnerabilità confermate dalla sospensione o di accelerarle attraverso lo stesso processo di revisione. Al momento WordPress.org non distingue tra correzioni di sicurezza e aggiornamenti di routine. I proprietari di siti non dovrebbero dare per scontato che gli strumenti di aggiornamento colmino il divario, perché molti strumenti si affidano alla stessa API che attualmente è il collo di bottiglia. Patchstack nota anche che reinstallare manualmente un plugin o scaricare direttamente il file zip bypassa l'attesa. Per i proprietari di siti web e i team IT, utilizzare un hosting WordPress gestito che gestisce aggiornamenti e manutenzione della sicurezza al di fuori della normale coda di controllo aggiornamenti può ridurre questo rischio. AEU Hosting, la piattaforma WordPress gestita di AEU Group, è progettata per mantenere le installazioni WordPress aggiornate e monitorate, così i proprietari passano meno tempo a controllare manualmente gli aggiornamenti dei plugin ritardati. Patchstack ora offre ai partner di hosting protezione gratuita per 30 giorni al costo, così le vulnerabilità vengono coperte quando vengono rilevate, non quando il controllo aggiornamenti le raggiunge. Un vantaggio iniziale non dovrebbe appartenere all'aggressore. Per sei settimane è stato un giorno intero, e ora è sei ore, che è ancora più lungo di quanto gli aggressori tipicamente necessitano per iniziare a sfruttare una correzione pubblica.