Le 10 vulnerabilità WordPress più comuni e come correggerle
Perché WordPress è un bersaglio frequente
WordPress alimenta oltre il 40% dei siti web mondiali, rendendolo il CMS più usato e, di conseguenza, il più attaccato. La maggior parte delle vulnerabilità non è nel core di WordPress ma nei plugin e temi di terze parti.
Le 10 vulnerabilità più comuni
1. Plugin non aggiornati
I plugin obsoleti sono la causa numero uno delle compromissioni WordPress. Molti plugin abbandonati contengono vulnerabilità note mai corrette.
2. SQL Injection nei plugin
Plugin con form e query non parametrizzate permettono l'iniezione di codice SQL malevolo.
3. Cross-Site Scripting (XSS)
Input non sanitizzati in commenti, form e parametri URL permettono l'esecuzione di JavaScript malevolo.
4. File wp-config.php esposto
Se il web server non è configurato correttamente, il file di configurazione con credenziali DB può essere accessibile.
5. XML-RPC abilitato
L'interfaccia XML-RPC è spesso usata per attacchi brute force amplificati e DDoS.
6. Enumerazione utenti
La struttura URL predefinita di WordPress permette di enumerare gli utenti registrati.
7. Permessi file errati
File con permessi troppo aperti (777, 666) permettono la modifica non autorizzata.
8. Temi con backdoor
Temi piratati o da fonti non verificate possono contenere backdoor.
9. Brute force su wp-login.php
Senza rate limiting, la pagina di login è vulnerabile ad attacchi brute force.
10. Upload di file malevoli
Upload non validati nel media manager possono introdurre shell PHP.
Come proteggere il tuo WordPress
- Aggiorna WordPress, plugin e temi regolarmente
- Rimuovi plugin e temi non utilizzati
- Esegui un WordPress Security Scan con SecureScan
- Configura permessi file corretti (644 per file, 755 per directory)
- Disabilita XML-RPC se non necessario
- Implementa rate limiting sulla pagina di login