Qualche giorno fa, controllando la libreria media di uno dei nostri siti WordPress, ho notato qualcosa di strano: una decina di file .zip con nomi completamente casuali, cose come cjijyij.zip o wmrdwxz.zip che nessuno di noi aveva mai caricato.
Quello che sembrava un piccolo mistero si è rivelato essere un attacco informatico reale, sfruttando una vulnerabilità critica scoperta nel core stesso di WordPress solo poche settimane fa. Racconto qui tutta l’indagine, cosa abbiamo trovato, e soprattutto cosa puoi fare subito per controllare se anche il tuo sito è stato colpito.
Il campanello d’allarme
Il primo indizio è arrivato osservando la sezione Utenti di WordPress: tra gli amministratori del sito compariva un account chiamato wpenginebot, con email wpenginebot@wpengine.com.
Nessuno di noi lo aveva creato.
Il nome scelto dall’attaccante non è casuale: WP Engine è un vero hosting provider molto diffuso, e alcuni siti effettivamente migrati da lì possono avere un account automatico con un nome simile. Chi ha creato questo account contava sul fatto che, vedendolo, un amministratore distratto pensasse “ah sì, sarà roba tecnica” e lo ignorasse.
Controllando più a fondo nel database, la sorpresa più grande: c’era un secondo account amministratore, wphiddenbot, che però non compariva da nessuna parte nell’interfaccia di WordPress né nella lista utenti, né tramite i comandi da riga di comando. Era letteralmente invisibile, pur avendo pieno controllo del sito.
Come sono entrati: una vulnerabilità nel cuore di WordPress
La causa è stata una vulnerabilità nel codice sorgente stesso di WordPress, quello che gira su milioni di siti in tutto il mondo, indipendentemente da quali plugin o temi si abbiano installato.
Si chiama wp2shell (nome tecnico: CVE-2026-63030 combinata con CVE-2026-60137), ed è stata resa pubblica il 17 luglio 2026. In sintesi:
- WordPress ha un sistema di “richieste in batch” per l’API REST (uno strumento pensato per far eseguire più operazioni insieme, in modo efficiente).
- Un bug in questo sistema permette, con una richiesta costruita ad arte, di far eseguire codice in un contesto di sicurezza sbagliato – saltando di fatto il controllo “sei autenticato?”.
- Da lì, sfruttando una seconda falla (una SQL injection in un parametro delle query ai contenuti), un attaccante anonimo, senza alcuna password, può creare un account amministratore completo sul sito.
La parte più preoccupante: non serve nessun plugin vulnerabile. Funziona su un’installazione WordPress “di base”, pulita, aggiornata in tutto tranne che nel core stesso.
WordPress ha rilasciato la correzione lo stesso giorno della divulgazione (versione 7.0.2, oltre a 6.9.5 e 6.8.6 per le versioni precedenti). Il problema è che, nelle 24-48 ore successive, migliaia di scanner automatici hanno iniziato a testare questa falla su ogni sito WordPress raggiungibile su internet compreso, evidentemente, il nostro, che in quei giorni non aveva ancora ricevuto l’aggiornamento.
Versioni coinvolte: WordPress 6.9.0–6.9.4 e 7.0.0–7.0.1 Corretto in: 6.9.5 / 7.0.2 (e successive)
Cosa hanno fatto una volta dentro
Creare un account admin è solo il primo passo. Da lì, chi ci ha attaccato ha installato due componenti pensati per restare nascosti e persistere nel tempo:
- Un “mu-plugin” (un tipo speciale di plugin che WordPress carica sempre, e che non compare nella lista Plugin né si può disattivare da interfaccia). Il suo compito era iniettare uno script nelle pagine viste dai visitatori del sito, non da noi amministratori, solo dagli utenti comuni, per non dare nell’occhio.
- Un plugin “mimetico”, presentato con un nome innocuo tipo strumento di ottimizzazione cache, che aveva un unico vero scopo: ricreare automaticamente l’account amministratore nascosto ogni volta che qualcuno visitava il sito, nel caso venisse cancellato, e filtrarlo attivamente da ogni lista o ricerca utenti, in modo che passasse inosservato a lungo.
Un lavoro tutt’altro che improvvisato: chi lo ha scritto sapeva esattamente come funziona WordPress internamente, e ha costruito qualcosa pensato per sopravvivere anche a un controllo superficiale.
Cosa fare se pensi che il tuo sito sia stato colpito
Se gestisci un sito WordPress, ecco i controlli essenziali, in ordine di priorità:
1. Controlla la lista amministratori, non fidandoti solo dell’interfaccia grafica. Se hai accesso al server, un comando diretto sul database ti mostra la realtà anche se qualcosa nasconde utenti dall’interfaccia.
2. Verifica la versione di WordPress e assicurati che l’aggiornamento automatico funzioni davvero — non solo che sia “attivato”. Un aggiornamento che sembra andato a buon fine può in realtà fallire silenziosamente per problemi di permessi sui file, lasciandoti esposto mentre pensi di essere al sicuro.
3. Cerca file e cartelle “mu-plugins” che non ricordi di aver installato — è una delle cartelle meno controllate perché normalmente resta vuota e non compare nella lista Plugin.
4. Controlla i plugin installati uno per uno, specialmente quelli con nomi generici tipo “cache optimizer”, “seo helper”, “security fix” — nomi scelti apposta per sembrare innocui e passare inosservati.
5. Guarda nella cartella Media/Uploads alla ricerca di file zip o eseguibili con nomi casuali — spesso sono temi o plugin “farciti” con codice malevolo, pronti per essere installati.
6. Se trovi qualcosa, dopo la pulizia rigenera tutte le chiavi segrete di WordPress (questo invalida automaticamente ogni sessione attiva, incluse quelle che un attaccante potrebbe ancora avere) e cambia tutte le password: WordPress, database, e accesso al server stesso.
Tenere WordPress aggiornato resta la difesa più importante che esista — ma non basta “attivare gli aggiornamenti automatici” e dimenticarsene: va verificato periodicamente che funzionino davvero. E ogni tanto, semplicemente, vale la pena dare un’occhiata in giro nel proprio sito con un minimo di curiosità in più: a volte il primo segnale di un problema serio è un dettaglio piccolo, quasi insignificante, come otto file zip con un nome che non hai mai visto prima.
Se gestisci siti WordPress per lavoro o per passione e vuoi una mano a capire se il tuo sito è a rischio, scrivici, siamo sempre disponibili a dare una mano.
Articolo a cura di Nico Fontani