Verificare le vulnerabilità dei plugin WordPress con WP-CLI e WPScan

Questo articolo è un'edizione localizzata dell'originale giapponese. Leggi l'originale in giapponese

Per le vulnerabilità dei plugin, il tempo che passa tra la pubblicazione e l'inizio degli attacchi può essere breve. La regola di base è ripetere periodicamente questo ciclo: sapere quali plugin e quali versioni hai installato, confrontarli con le vulnerabilità note e aggiornare se esiste una versione corretta. In questo articolo vediamo in ordine come controllare le versioni con WP-CLI, il confronto con WPScan, come leggere i database delle vulnerabilità, la verifica delle manomissioni e cosa fare quando trovi un problema. I comandi e le condizioni sui prezzi sono stati verificati sulle rispettive documentazioni ufficiali a novembre 2026.

1. Elenca i plugin installati e le versioni

Per prima cosa individua cosa è installato e in quale versione. Puoi controllarlo anche da «Plugin → Plugin installati» (Plugins → Installed Plugins) nell'amministrazione, ma con WP-CLI puoi salvare l'elenco.

# Mostra nome, versione, stato (attivo/disattivo) e disponibilità di aggiornamenti
wp plugin list --fields=name,version,status,update

# Mostra solo quelli con un aggiornamento disponibile
wp plugin list --update=available

# Salva in JSON a scopo di registro
wp plugin list --fields=name,version,status --format=json > plugins.json

Nell'elenco compaiono anche i plugin disattivati. Anche se disattivati, i file restano sul server e a volte è possibile accedere direttamente ai file vulnerabili, quindi elimina quelli che non usi. Le basi di WP-CLI sono spiegate in «Come gestire i plugin con WP-CLI».

2. Confronta con le vulnerabilità note usando WPScan

WPScan è uno strumento da riga di comando che analizza un sito WordPress dall'esterno. Le informazioni sulle vulnerabilità vengono ottenute dall'API di WPScan, quindi crea un account su wpscan.com, genera un token API e usalo.

Secondo la pagina dei prezzi di WPScan, il piano gratuito è limitato all'uso non commerciale e le chiamate all'API sono al massimo 25 al giorno. Per usarlo su siti aziendali serve una licenza a pagamento. Funziona anche senza token API, ma in quel caso le informazioni sulle vulnerabilità non vengono mostrate.

# Installazione (con gem di Ruby)
gem install wpscan

# Se lo usi con Docker
docker pull wpscanteam/wpscan

# Cerca i plugin con vulnerabilità segnalate
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# Usa sia il rilevamento passive sia quello aggressive
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

I valori principali di -e sono questi.

Di default il rilevamento dei plugin è passive, cioè li ricava dall'HTML delle pagine e da fonti simili. I plugin che non lasciano tracce nell'HTML possono non essere trovati: con aggressive o mixed i rilevamenti aumentano, ma aumenta anche il numero di richieste.

Con WPScan puoi analizzare solo siti che gestisci tu o per i quali hai un'autorizzazione. Per i dettagli d'uso può esserti utile anche «Analizzare le vulnerabilità del sito con WPScan».

3. Verifica i dettagli nei database delle vulnerabilità

Per i plugin il cui nome compare nei risultati di WPScan o nelle notizie sulla sicurezza, controlla i dettagli nei database seguenti.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, si cerca con il numero CVE)

Le voci da guardare sono queste.

Intervieni prima su quelle sfruttabili senza login e su quelle più gravi. Quelle sfruttabili con i privilegi di iscritto sono urgenti per i siti che accettano la registrazione degli utenti (siti per soci, negozi e simili).

4. Verifica che i file non siano stati manomessi

Se esiste la possibilità che una vulnerabilità sia stata sfruttata, controlla che i file siano rimasti quelli originali. verify-checksums di WP-CLI confronta i file con i checksum pubblicati da WordPress.org.

# Controlla tutti i plugin
wp plugin verify-checksums --all

# Controlla solo un plugin specifico
wp plugin verify-checksums contact-form-7

# Controlla i file del core di WordPress
wp core verify-checksums

Se non ci sono problemi compare un messaggio come Success: Verified 8 of 8 plugins.. Se ci sono file aggiunti o con contenuto diverso, ne viene mostrato l'elenco.

I plugin a pagamento non distribuiti da WordPress.org non hanno checksum, quindi con questo metodo non si possono controllare. In quel caso scarica la stessa versione dal distributore e confronta i file.

5. Cosa fare quando trovi una vulnerabilità

# Se esiste una versione corretta: aggiorna
wp plugin update contact-form-7

# Se non esiste una versione corretta: disattiva ed elimina se non lo usi
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# Prima di aggiornare tutto insieme, controlla cosa verrà aggiornato
wp plugin update --all --dry-run

vulnerable-plugin è un esempio. Sostituiscilo con lo slug reale (la colonna name di wp plugin list).

• Prima di aggiornare fai un backup e dopo l'aggiornamento verifica che le schermate principali (modulo di contatto, pagamenti e così via) funzionino.
• Per i plugin per cui non esce una versione corretta e il cui sviluppo si è fermato, valuta il passaggio a un altro plugin con la stessa funzione. Per i plugin la cui distribuzione è stata sospesa da WordPress.org, nella pagina del plugin compare l'avviso di sospensione.
• Se ci sono tracce di manomissione, l'aggiornamento non basta. Controlla anche l'aggiunta di utenti amministratori, i file PHP messi in uploads e le modifiche a wp-config.php e, se serve, ripristina dal backup.

6. Fai del controllo un’abitudine

• Da «Plugin» nell'amministrazione puoi attivare gli aggiornamenti automatici plugin per plugin (da WordPress 5.5 in poi). Inizia dai plugin per cui è meno probabile che un aggiornamento rovini la visualizzazione. Per i dettagli vedi «Come impostare l'aggiornamento automatico dei plugin».
• Se esegui WPScan periodicamente con cron, fai attenzione al limite gratuito di 25 chiamate al giorno e alla condizione di uso non commerciale.
• Anche il plugin di sicurezza Wordfence, con le sue scansioni, segnala per esempio i plugin da aggiornare. L'uso è spiegato in «Come scansionare il sito con Wordfence».

Riepilogo

La verifica delle vulnerabilità dei plugin procede in quest'ordine: ottieni l'elenco (wp plugin list), confrontalo con le vulnerabilità note (WPScan e database delle vulnerabilità), verifica le manomissioni (wp plugin verify-checksums) e intervieni con un aggiornamento o con l'eliminazione. Eliminare i plugin che non usi è la misura che richiede meno fatica.

Domande su WordPress? Chi pubblica questo sito ha sede in Giappone e risponde in giapponese. Contatti (in giapponese)