Un amministratore che non hai creato tu: cosa è successo a tanti siti WordPress questa settimana
Ti sei trovato nel back-end di wordpress un amministratore che non hai creato tu?: ecco cosa è successo a tanti siti WordPress questa settimana
Se hai un sito WordPress e non lo aggiorni tu stesso ogni settimana, questo articolo ti riguarda.
Il 17 luglio 2026 è stata scoperta una falla grave nel cuore di WordPress; non in un plugin, non in un tema: proprio nel motore che fa funzionare il sito. Il problema è così serio che permette a chiunque, senza username, senza password, senza aver mai avuto accesso al tuo sito, di creare un proprio account amministratore e prendere il controllo completo.
Leggi il dettaglio qui: https://www.acn.gov.it/portale/w/wordpress-poc-pubblico-per-lo-sfruttamento-delle-cve-2026-60137-e-cve-2026-63030
Non è teoria. In questi giorni sta già succedendo: alcuni siti si sono ritrovati, dall’oggi al domani, con utenti amministratori mai creati da nessuno del team. Il classico segnale che qualcuno è entrato dalla porta principale senza bussare.
Perché è diverso dai soliti allarmi sicurezza
Di solito quando si parla di “vulnerabilità WordPress” si parla di un plugin poco aggiornato, o di un tema scaricato da chissà dove. Questa volta no: il problema è nel cuore di WordPress stesso, presente anche in un’installazione pulita, senza nessun plugin extra. Significa che non basta avere “pochi plugin” o “un sito semplice” per sentirsi al sicuro: se il numero di versione di WordPress non è quello giusto, il sito è esposto, punto.
E la finestra di rischio è cortissima: nel giro di poche ore dalla scoperta, in rete circolavano già strumenti pronti all’uso per sfruttare la falla. Con un dettaglio inquietante: fra i primi passi automatici di questi strumenti c’è proprio la creazione di un amministratore fantasma.
Cosa rischi in concreto
Con un account amministratore in mano, chi attacca il sito può fare praticamente tutto quello che potresti fare tu: cambiare contenuti, installare plugin (compresi quelli che nascondono ulteriori porte d’accesso), rubare dati dei clienti raccolti da moduli e form, usare il tuo sito per inviare spam o reindirizzare i visitatori altrove, o semplicemente restare in silenzio per mesi in attesa del momento buono. E se il sito viene inserito in una blacklist di sicurezza da Google, i visitatori (e i clienti) lo vedranno per primi, con un bell’avviso rosso “sito non sicuro”.
Come sai se il tuo sito è a rischio
Innanzitutto controlla (anche da solo, o col nostro tool gratuito) la versione di wordpress. Poi guarda se ci sono utenti amministratori che non riconosci: se ci sono, innanzitutto disconnettili e poi cancellali o cambia il loro ruolo in “sottoscrittore”. Questa è la base: per una analisi approfondita servono competenze, per controllare la versione esatta di WordPress installata, capire se rientra nell’intervallo vulnerabile, e verificare se qualcuno è già passato di lì prima di te. Se il tuo sito non viene aggiornato regolarmente da un professionista, in questo momento potresti semplicemente non saperlo.
La differenza fra “aggiorno quando ho tempo” e “qualcuno se ne occupa sempre”
Il punto non è che WordPress sia insicuro, anzi: la falla è stata corretta dal team di sviluppo nel giro di poche ore dalla scoperta. Il punto è che fra il rilascio della correzione e il momento in cui il tuo sito la riceve davvero, può passare un tempo pericolosamente lungo se nessuno se ne occupa attivamente. In casi come questo, la differenza fra un sito protetto e un sito compromesso si è giocata letteralmente sui giorni, se non sulle ore.
È esattamente il servizio che offriamo con la nostra manutenzione tecnica per siti WordPress: controlliamo, aggiorniamo e monitoriamo i siti dei nostri clienti, così quando esce un allarme come questo il tuo sito è già al sicuro: non lo scopri leggendo un articolo come questo, chiedendoti se riguarda anche te.
Se non sei sicuro di quando è stato aggiornato l’ultima volta il tuo sito, è un’ottima domanda da farti oggi, non fra un mese.
Controlla subito la tua versione di WordPress, che sia 7.0.2 se non sei sicuro o non sai come fare, usa il nostro tool gratuito di checkup.
Per qualsiasi informazione, contattaci.