Gli attacchi a WordPress aumentano nonostante il calo delle nuove vulnerabilità nel secondo trimestre 2026
Gli attacchi a WordPress misurati da Wordfence sono aumentati nel secondo trimestre 2026, anche se il numero di vulnerabilità pubblicate di recente è diminuito. L’azienda ha registrato 10,4 miliardi di richieste bloccate o registrate dal suo Web Application Firewall (WAF), uno strumento che filtra il traffico dannoso diretto ai siti web, con un aumento del 14,3% rispetto al trimestre precedente. Ha inoltre bloccato 18,2 miliardi di brute-force attempts, durante i quali gli aggressori provano ripetutamente diverse password per ottenere l’accesso, con un incremento del 13,8%. Questi dati provengono dalla telemetria di Wordfence e descrivono l’attività osservata sui siti web protetti dall’azienda, non su tutti i siti WordPress del mondo.
Durante il trimestre, Wordfence ha aggiunto 2.073 vulnerabilità al proprio database di intelligence, il 24,3% in meno rispetto al primo trimestre 2026. Tuttavia, il numero di quelle classificate come minacce elevate è aumentato del 15,2%, raggiungendo quota 182. L’azienda descrive questa categoria come composta da vulnerabilità che gli aggressori potrebbero prendere di mira e che, in genere, possono consentire la compromissione completa di un sito con prerequisiti limitati. Altre 357 voci sono state classificate come comuni e pericolose, con un aumento dell’80,3%. Wordfence ha dichiarato di essere stata responsabile della correzione e della divulgazione del 47,4% di tutte le vulnerabilità, del 53,3% dei casi ad alta minaccia e del 32,2% dei casi comuni e pericolosi registrati nel suo database durante il trimestre.
Alla fine del secondo trimestre, 149 delle vulnerabilità registrate risultavano ancora prive di patch. La maggior parte delle vulnerabilità pubblicate durante il periodo poteva essere sfruttata senza autenticazione, quindi un aggressore non doveva prima effettuare l’accesso. I plugin rappresentavano la maggior parte del software interessato. La categoria più numerosa era cross-site scripting, che può indurre un sito web a eseguire codice indesiderato nel browser di un visitatore, con 600 vulnerabilità. Seguivano 416 casi di controlli di autorizzazione mancanti, mentre SQL injection, che manipola i comandi inviati al database di un sito, rappresentava 213 casi. Wordfence ha inoltre contato 121 vulnerabilità di cross-site request forgery, 103 casi relativi alla gestione non sicura dei dati archiviati, 101 vulnerabilità di remote file inclusion, 87 esposizioni di informazioni sensibili, 85 authorization bypass basati su identificatori controllati dagli utenti, 76 vulnerabilità di path traversal e 51 upload senza restrizioni di file pericolosi.
I dati del WAF mostrano sia una crescita del traffico sia un insieme più ampio di fonti apparenti. Wordfence ha contato 19,7 milioni di indirizzi IP unici negli attacchi rilevati dal firewall, con un aumento del 16,7%, e 72,9 milioni di user agent unici, in crescita del 263,7%. Un user agent è l’informazione identificativa inviata da un software insieme a una richiesta web, anche se gli aggressori possono modificarla. L’IP threat feed dell’azienda ha bloccato 3,1 miliardi di richieste, il 7% in meno, mentre il numero di indirizzi unici nella sua blocklist è aumentato del 58,9%, raggiungendo quota 353.000. Wordfence ha pubblicato 16 regole WAF durante il trimestre, il 27,3% in meno rispetto a quello precedente. La sua telemetria è stata ricavata da oltre cinque milioni di siti web protetti.
La vulnerabilità elencata maggiormente presa di mira era un problema di privilege escalation senza autenticazione in LiteSpeed Cache <= 6.3.0.1, associato a 49.711.496 richieste bloccate. privilege escalation significa ottenere autorizzazioni superiori a quelle che un account o un visitatore dovrebbe avere. Seguivano diverse azioni vulnerabili in WPGraphQL <= 0.2.3, con 29.403.849 richieste, e una vulnerabilità di arbitrary file upload in N-Media Post Front-end Form < 1.1, con 23.130.942 richieste. Wordfence ha inoltre bloccato 12.610.278 richieste dirette contro authentication bypass e privilege escalation in WooCommerce Payments dalla versione 4.8.0 alla 5.6.1 e 10.602.932 richieste contro un authorization bypass che poteva creare un account amministratore senza autenticazione in SureTriggers <= 1.0.78.
Tra le altre voci prese di mira più di frequente figuravano la divulgazione di informazioni sensibili tramite una REST API non protetta in Ninja Forms <= 3.5.7, con 9.975.128 richieste bloccate, e privilege escalation tramite un endpoint REST API non protetto in Rank Math SEO <= 1.0.40.2, con 7.110.040 richieste. Un authorization bypass in POST SMTP Mailer, Email log, Delivery Failure Notifications and Best Mail SMTP for WordPress <= 2.8.7 ha attirato 4.890.917 richieste. La mancanza di autorizzazione in Discount Rules for WooCommerce <= 2.0.2 ha rappresentato 3.797.139 richieste. Un problema di arbitrary file upload accessibile agli utenti di livello Contributor o superiore in Envato Elements <= 2.0.10 e Template Kit <= 1.0.13 ha generato 1.742.988 richieste bloccate.
Anche gli attacchi alle password sono diventati più distribuiti. Wordfence ha osservato 106,2 milioni di indirizzi IP unici coinvolti in attività di forza bruta, il 55,9% in più rispetto al trimestre precedente. Allo stesso tempo, il numero medio di richieste per indirizzo è diminuito del 27%, attestandosi a 171. Per i proprietari dei siti, questa combinazione rafforza l’utilità della two-factor authentication (2FA), che richiede una seconda prova d’identità oltre alla password, nonché di password uniche e restrizioni sui tentativi di accesso ripetuti.
Il rilevamento di malware è aumentato insieme al traffico degli attacchi. malware indica software o codice inserito in un sito per eseguire azioni dannose o non autorizzate. Wordfence ha segnalato 31,6 milioni di file malware unici, con un aumento del 15,2%, e ha rilevato malware su 573.000 siti, il 21% in più. I siti interessati presentavano in media 49,3 file infetti, il 4,8% in meno, e 2,2 varianti di malware, il 7,8% in meno. L’azienda ha pubblicato 85 malware signatures, ossia modelli utilizzati per identificare file dannosi, il 4,5% in meno rispetto al primo trimestre. Il suo report osserva che i file PHP dannosi sono spesso associati a backdoor, webshell, furto di informazioni e payment skimming, mentre le infezioni JavaScript e HTML sono spesso collegate allo spam.
La priorità pratica consiste nel creare un inventario di ogni plugin e theme installato, applicare tempestivamente gli aggiornamenti disponibili e rimuovere il software inutilizzato o ancora privo di patch. I proprietari dei siti dovrebbero combinare controlli degli accessi come la 2FA con scansioni malware regolari, backup e monitoraggio delle modifiche impreviste a file o account. Per i lettori che desiderano includere in queste attività anche la gestione del livello di hosting, AEU Hosting offre un hosting WordPress gestito e protetto end to end. I dati del trimestre mostrano perché un numero inferiore di vulnerabilità pubblicate non debba essere scambiato per un rischio operativo più basso: nel dataset di Wordfence sono aumentati le vulnerabilità ad alta minaccia, le richieste di sfruttamento, gli attacchi alle password e i rilevamenti di malware.