Ottobre 2026 · Avviso di sicurezza per siti WordPress
Dal 1° gennaio il tuo sito non aggiornato sarà completamente vulnerabile.
L’intelligenza artificiale ha scoperto ad ottobre 2 gravi falle di sicurezza in PHP. I tentativi di attacco ai siti WordPress sono già milioni. Dal 1° gennaio la situazione peggiorerà.
Qui sotto ti spiego in parole semplici cosa significa tutto questo e cosa rischi.
04 · Cosa rischi
Come entrano nel tuo sito senza conoscere la password
Chi attacca non cerca proprio te. Usa programmi automatici che provano la stessa porta su un sito dopo l’altro, giorno e notte, e si fermano su quelli non aggiornati. Dopo la scoperta di questi due difetti, in pochi giorni i tentativi sono arrivati a milioni.
Una volta dentro, può usare il tuo sito come vuole:
Riempirlo di pubblicità indesiderata
Usarlo per truffare altre persone
Leggere i dati che i tuoi clienti scrivono nei moduli
Usarlo per attaccare altri siti
E spesso non te ne accorgi. Di recente ho ripulito un sito in cui qualcuno aveva nascosto pubblicità indesiderata in articoli, pagine e moduli di contatto. I visitatori non la vedevano, ma Google la leggeva.
Il titolare non vedeva niente. Google sì.
L’unica difesa è aggiornare. Ed è proprio lì che molti siti restano scoperti.
01 · Cosa sta succedendo
Un difetto di sicurezza è come una serratura rotta
Ogni programma può avere degli errori. Alcuni permettono a uno sconosciuto di entrare nel sito, leggere i dati o cambiarli senza autorizzazioni.
Pensa alla porta del tuo ufficio. Sembra chiusa, e per te lo è. Ma chi sa che la serratura è rotta la apre con una spinta.
Succede a tutti i programmi, anche ai più usati. Quando il difetto viene scoperto, chi ha fatto il programma lo ripara e manda un aggiornamento.
Da quel momento è una gara: chi aggiorna chiude la porta, chi non aggiorna la lascia aperta.
Fino a ieri, difetti come questi potevano restare nascosti per anni. Oggi non più. A ottobre sono stati scoperti due rischi di portata 9,2 e molti altri ne emergeranno.
02 · Cosa è cambiato
Prima servivano anni per trovarli. Oggi l’intelligenza artificiale ci mette pochi giorni.
Controlli fatti da persone
anni
Questi due difetti erano lì da anni. Nessun controllo fatto a mano li aveva mai visti.
Con l’intelligenza artificiale
pochi giorni
Ad agosto 2026 due gruppi di ricercatori hanno usato l’intelligenza artificiale per cercarli. Li hanno trovati in pochi giorni.
Il problema è che gli stessi strumenti li usa anche chi attacca i siti. E non finisce qui: due giorni dopo la riparazione, è già stato segnalato un altro difetto.
E quelli di ottobre non erano difetti qualsiasi. Erano di gravità 9,2!
03 · Quanto sono gravi
Cosa vuol dire 9,2 su 10
Gli esperti di sicurezza di tutto il mondo danno a ogni difetto un voto da 0 a 10. Sotto 4 è poco grave. Da 7 è grave. Da 9 in su è critico: il livello più alto.
Questi due hanno preso 9,2. Il motivo è semplice: chi entra sfruttando le falle può far fare al tuo sito quello che vuole lui, da lontano.
In alcuni casi gli basta un solo tentativo, senza nessuna password.
05 · attenzione alle date
Gli aggiornamenti chiudono le porte. Il tuo sito li riceve?
Il 21 ottobre i due difetti sono stati riparati. Ma la riparazione è valida solo per le versioni di PHP più aggiornate. PHP è il programma che fa funzionare WordPress.
- Gennaio 2026PHP 8.1 non riceve più riparazioni
- Agosto 2026L’intelligenza artificiale trova due difetti nascosti da anni
- 21 ottobreI due difetti da 9,2 vengono riparati
- 23 ottobreNe viene già segnalato un altro
- 31 dicembre 2026Anche PHP 8.2 non riceverà più riparazioni
Se il tuo sito usa le vecchie versioni, da gennaio sarà TOTALMENTE VULNERABILE.
E tu, sai quale versione di PHP utilizza il tuo sito?
06 · Il blocco
Hai paura di toccare il sito da solo? Hai ragione.
Il sito te l’ha fatto qualcuno anni fa, e da allora nessuno se ne occupa. Quando entri nel pannello vedi gli avvisi di aggiornamento, ma non li tocchi: e se poi il sito smette di funzionare?
È una paura giusta. Aggiornare senza controlli può rompere il sito, perché i pezzi vecchi possono non funzionare con quelli nuovi.
07 · Come si aggiorna WordPress
Sistemo il tuo sito senza rischi
Il sito online
Resta online, è identico e funziona come sempre
copia di Stage
CREO Una copia identica nascosta al pubblico
Qui si fanno tutte le prove in totale sicurezza
- Prima di tutto viene salvato un backup completo del sito.
- Viene creata una copia identica del sito, ma separata. Il tuo sito resta online e funziona come sempre.
- Sulla copia si fatto tutti gli aggiornamenti: PHP, WordPress, la grafica e i componenti aggiuntivi. E sistemo quello che non va.
- Le pagine, i moduli di contatto e le funzioni principali vengono provati in sicurezza.
- Solo quando la copia funziona perfettamente, viene messa online al posto del vecchio sito.
- Vengono effettuati nuovamente tutti i test.
[Foto] Ritratto di Francesco
Alla scrivania, luce naturale laterale, sguardo fuori campo.
08 · Chi sono
Programmo dal 2002. E parli sempre con me.
Sono Francesco Mosca. Per più di dieci anni ho costruito programmi su misura con PHP, lo stesso linguaggio con cui funziona WordPress.
Poi mi sono specializzato sugli e-commerce, gestendo sistemi di vendita complessi. Nel 2017 ho fondato SoluzioneWP.
Ho un approccio one-to-one con i clienti: parli sempre con me, dalla prima email al riassunto finale. Nessun intermediario, nessun passaggio di mano.
Seguo al massimo 20 siti al mese, per farli tutti bene.
09 · Quanto costa
€189. Senza sorprese.
Sito in sicurezza
€189
Prezzo fisso. Il sito è aggiornato entro 7 giorni lavorativi.
Comprende l’analisi iniziale, la verifica finale e tutto il lavoro descritto sopra.
Temi e plugin a pagamento non sono compresi.
Cosa non comprende
Le modifiche alla grafica o ai testi. E il costo di temi e plugin a pagamento: se ne servono, ti guido verso l’acquisto (che sarà a nome tuo e tutto il materiale rimane di tua proprietà). Te lo dico prima di iniziare, con il costo esatto.
Se non si può fare, non paghi.
Se lavorando sulla copia scopro che l’aggiornamento non si può fare senza problemi, te lo dico. Non tocco il tuo sito e ti restituisco tutti i soldi.
Inserisci l’indirizzo del tuo sito e richiedi l’aggiornamento.
- Esamino la richiesta e ti rispondo entro 24 ore lavorative.
- Fissiamo una call.
- Paghi con il link che ti invio: entro 7 giorni lavorativi il sito è aggiornato.
10 · Domande
Quello che vorresti sapere in più
Cos’è PHP?
È il programma che fa funzionare WordPress. Sta sui computer del tuo hosting, cioè dell’azienda che tiene online il sito. Ogni versione riceve riparazioni di sicurezza solo per un certo periodo, poi non più.
Il mio hosting non lo aggiorna da solo?
Non sempre. Alcuni lasciano i siti sulle versioni vecchie finché qualcuno non lo chiede. Altri aggiornano in automatico, senza controllare il tuo sito: se un pezzo non è compatibile, il sito smette di funzionare.
Come faccio a sapere che versione usa il mio sito?
Lasciami l’indirizzo e te lo dico io. Se vuoi guardare da solo: nel pannello di WordPress vai su Strumenti, poi Salute del sito, Informazioni, voce Server.
Il mio sito cambierà aspetto?
No. Grafica, testi e funzioni restano come sono. Cambia quello che non vedi.
Il sito diventa più veloce?
Di solito sì, perché le versioni recenti fanno lo stesso lavoro in meno tempo. Non te lo prometto: dipende anche dall’hosting e dai componenti installati.
Il sito me l’ha fatto un’altra persona. Puoi lavorarci tu?
Sì. Mi serve solo l’accesso.
Non ho le password del sito.
Succede spesso. Ti aiuto a recuperarle tramite il tuo hosting.
Devo pagare anche temi e plugin?
Solo se il tuo sito ne usa qualcuno a pagamento e serve rinnovarlo o comprarlo. Non è compreso nei €189: il costo è a carico tuo, e te lo dico prima di iniziare.
Ricevo la fattura?
Sì, ricevi regolare fattura.
Dopo devo fare altro?
No. Alla fine ti spiego cosa serve per tenerlo aggiornato. Se vuoi, me ne occupo io.