Se gestisci un sito WordPress, probabilmente hai già sentito parlare di vulnerabilità critiche che mettono a rischio migliaia di installazioni in tutto il mondo. WP2Shell è una di queste minacce: una falla di sicurezza che, se sfruttata, può permettere a un attaccante di prendere il controllo completo del tuo sito, caricare file dannosi ed eseguire codice arbitrario sul server. In questo articolo ti spiego cos’è, come funziona e soprattutto cosa puoi fare subito per proteggere il tuo sito.
WP2Shell è il nome con cui viene identificata una tipologia di vulnerabilità che colpisce plugin o temi di WordPress mal configurati o non aggiornati, permettendo l’upload di file malevoli (le cosiddette “web shell”) direttamente sul server. Una volta caricata, la shell consente all’attaccante di eseguire comandi, leggere e modificare file, accedere al database e, in molti casi, prendere il controllo totale dell’hosting.
Il nome richiama proprio questa dinamica: da un semplice punto di accesso in WordPress (un form di upload, un campo non validato, un plugin vulnerabile) si arriva a una vera e propria “shell”, cioè un accesso diretto al sistema.
Gli attacchi di questo tipo seguono solitamente uno schema ricorrente:
La particolarità di queste vulnerabilità è che non richiedono necessariamente competenze avanzate da parte dell’attaccante: esistono strumenti automatizzati che scansionano il web alla ricerca di siti WordPress vulnerabili, sfruttando falle note in plugin o temi non aggiornati.
WordPress alimenta una porzione enorme dei siti web a livello globale, e questo lo rende un bersaglio privilegiato. I fattori che aumentano il rischio sono principalmente:
La buona notizia è che la maggior parte di questi attacchi si può prevenire con alcune buone pratiche di sicurezza. Ecco cosa dovresti fare:
Aggiorna regolarmente il core di WordPress, i plugin e i temi. La maggior parte delle vulnerabilità sfruttate dagli attaccanti riguarda versioni obsolete di componenti per cui esiste già una patch disponibile.
Ogni plugin è una potenziale porta d’ingresso. Installa solo componenti realmente necessari, provenienti da fonti affidabili, e rimuovi quelli inutilizzati o non più mantenuti dallo sviluppatore.
Le cartelle come wp-content/uploads non dovrebbero mai consentire l’esecuzione di script PHP. Una corretta configurazione del server può bloccare sul nascere molti tentativi di attacco.
Un WAF ben configurato è in grado di riconoscere e bloccare i tentativi di upload di file sospetti prima ancora che raggiungano l’applicazione, riducendo drasticamente la superficie di attacco.
Controlla periodicamente i file del sito alla ricerca di modifiche non autorizzate, utilizza plugin di sicurezza affidabili per il monitoraggio e mantieni sempre backup aggiornati, conservati anche fuori dal server principale.
Usa password complesse, attiva l’autenticazione a due fattori per l’accesso amministrativo e limita i tentativi di login per contrastare attacchi di forza bruta.
Se sospetti che il tuo sito sia stato vittima di un attacco simile a WP2Shell, è importante agire rapidamente: isola il sito, ripristina un backup pulito e precedente alla compromissione, cambia tutte le credenziali di accesso (WordPress, hosting, database, FTP) e verifica con attenzione la presenza di file sospetti o modificati. In casi complessi, è consigliabile affidarsi a un professionista per una bonifica completa e una verifica approfondita della sicurezza.
No, la vulnerabilità può riguardare sia plugin gratuiti che premium, oltre a temi e componenti custom. Il fattore determinante non è il costo del plugin, ma la sua manutenzione e gli aggiornamenti di sicurezza ricevuti nel tempo.
Verifica sempre la data dell’ultimo aggiornamento, le recensioni e, quando disponibili, i database pubblici di vulnerabilità note per WordPress. In caso di dubbio, è preferibile evitare plugin poco mantenuti o con segnalazioni di problemi di sicurezza.
I backup sono fondamentali per il ripristino, ma non prevengono l’attacco in sé. Vanno sempre affiancati da misure preventive come aggiornamenti costanti, un firewall applicativo e un monitoraggio regolare del sito.
La sicurezza di WordPress non è un’attività da fare una tantum, ma un processo continuo che richiede attenzione e competenze specifiche. Se vuoi verificare lo stato di sicurezza del tuo sito, mettere in sicurezza plugin e temi o hai bisogno di un intervento rapido dopo un attacco, posso aiutarti a proteggere il tuo progetto online in modo concreto ed efficace. Richiedi una consulenza gratuita e parliamo della sicurezza del tuo sito WordPress.
L’aggiornamento di WordPress chiude la vulnerabilità, ma non elimina automaticamente eventuali backdoor installate prima dell’aggiornamento. Se il sito è rimasto esposto mentre utilizzava una versione vulnerabile, è quindi necessario effettuare anche un controllo approfondito dei file, del database e degli account amministrativi.
La catena completa che può portare all’esecuzione remota di codice interessa:
Le versioni dalla 6.8.0 alla 6.8.5 sono interessate dalla vulnerabilità SQL injection, ma non dall’intera catena RCE conosciuta come WP2Shell.
Le versioni corrette sono:
Le versioni precedenti alla 6.8 non risultano interessate da queste specifiche vulnerabilità.
La versione installata può essere verificata dal pannello di amministrazione oppure nel file:
wp-includes/version.php
È importante ricordare che anche un sito attualmente aggiornato potrebbe essere già stato compromesso quando utilizzava una versione vulnerabile.
Un errore 500 improvviso, comparso su un sito che prima funzionava regolarmente, può essere causato anche da file del core modificati o da codice malevolo.
Tra i primi file da controllare c’è l’index.php presente nella directory principale di WordPress. Nell’installazione originale è normalmente un file molto piccolo, composto da poche righe. Un file molto più grande, contenente codice offuscato o funzioni PHP insolite, deve essere confrontato con quello presente nel pacchetto ufficiale della stessa versione di WordPress.
La dimensione del file, da sola, non è però sufficiente per stabilire se il sito sia infetto: il controllo corretto consiste nel confrontare l’integrità dei file con una copia ufficiale e pulita del core.
Prima di cancellare qualsiasi elemento sospetto è consigliabile salvare:
Questi dati possono essere utili per capire quando è avvenuto l’attacco e quali risorse sono state compromesse.
Controllare attentamente:
wp-content/plugins/
Devono essere verificate sia le cartelle sconosciute sia i file aggiunti all’interno di plugin legittimi.
Sono particolarmente sospetti:
wp2shell_.I nomi sospetti sono solamente indicatori: la verifica più affidabile consiste nel confrontare ogni plugin con una copia pulita scaricata dalla fonte ufficiale o dal fornitore originale.
Controllare tutte le sottocartelle di:
wp-content/uploads/
In condizioni normali questa directory contiene immagini, PDF, documenti e altri file multimediali. La presenza di file .php, .phtml, .phar o di altre estensioni eseguibili deve essere analizzata immediatamente.
È consigliabile configurare il server affinché gli script PHP non possano essere eseguiti all’interno della cartella degli upload.
.htaccessControllare il file .htaccess della directory principale e quelli eventualmente presenti nelle sottocartelle.
È particolarmente sospetta una configurazione che:
Quando un .htaccess autorizza esplicitamente determinati nomi di file, quei nomi devono essere cercati in tutta l’installazione perché potrebbero identificare delle backdoor.
Verificare anche directory come:
ai1wm-backups;aiowps_backups;Queste cartelle non rappresentano necessariamente un’infezione, ma potrebbero contenere backup completi, database, file .wpress o copie di wp-config.php.
Non è sufficiente disattivare l’elenco delle directory con Options -Indexes: bisogna verificare che i singoli file non siano scaricabili conoscendone l’URL diretto.
Un file deve essere analizzato con particolare attenzione quando contiene:
eval() associato a codice offuscato;base64_decode() utilizzato per ricostruire ed eseguire codice;shell_exec, exec, system, passthru o proc_open;$_GET, $_POST o $_COOKIE;wp_ajax_nopriv_* che eseguono operazioni sensibili;permission_callback non adeguate;<?php o dopo la normale conclusione del file.La presenza di una singola funzione non dimostra automaticamente che il file sia una web shell. Alcuni plugin legittimi possono utilizzare funzioni considerate sensibili. Il file deve essere confrontato con la versione originale e analizzato nel suo contesto.
WP2Shell può essere sfruttata per creare un account amministratore e successivamente installare un plugin malevolo o eseguire codice con i privilegi del server web.
È quindi necessario verificare:
wp2_;@wp2shell.invalid;Il prefisso wp2_ e il dominio @wp2shell.invalid sono indicatori associati a exploit pubblici, ma la loro assenza non dimostra che il sito sia pulito. Un attaccante può utilizzare nomi completamente diversi.
Nei log del web server è opportuno cercare richieste anomale verso:
/wp-json/batch/v1
oppure:
?rest_route=/batch/v1
Devono essere esaminate anche:
Bisogna considerare che una parte dell’attacco può essere contenuta nel corpo delle richieste batch e potrebbe non essere registrata integralmente nei normali access log. Per questo motivo i log, da soli, non sono sufficienti per escludere la compromissione.
Quando vengono individuati file o cartelle malevoli è consigliabile:
.htaccess;wp-config.php;Il file wp-config.php non deve necessariamente essere sostituito, ma deve essere controllato attentamente per verificare che non contenga codice aggiunto all’inizio o alla fine.
Il semplice aggiornamento del core non è sufficiente quando l’attaccante ha già creato un account amministratore, installato un plugin malevolo o inserito una backdoor persistente.
Al termine dell’intervento bisogna:
Se nello stesso hosting sono presenti più installazioni WordPress, sottodomini, staging o vecchie copie del sito, devono essere controllati separatamente. La protezione installata su un sito non protegge automaticamente le altre installazioni presenti nello stesso account.
Quando non è possibile aggiornare immediatamente, è possibile bloccare temporaneamente l’accesso anonimo agli endpoint batch della REST API:
/wp-json/batch/v1;?rest_route=/batch/v1.Il blocco può essere applicato tramite WAF o configurazione del web server, ma potrebbe interferire con funzionalità legittime. Deve quindi essere considerato esclusivamente una misura temporanea e non un’alternativa all’aggiornamento.
La bonifica di un sito compromesso non consiste soltanto nell’eliminazione del primo file sospetto individuato. Una backdoor può essere nascosta nel core, nei plugin, nei temi, negli upload, nel database o in altre installazioni presenti sullo stesso hosting.
Un controllo professionale permette di ricostruire l’origine dell’attacco, rimuovere i meccanismi di persistenza, verificare gli accessi amministrativi e mettere in sicurezza il sito per ridurre il rischio di una nuova compromissione.
Se hai riscontrato errori improvvisi, file sconosciuti, utenti amministratori non autorizzati o modifiche sospette, richiedi una verifica completa del tuo sito WordPress.
Questo articolo è stato realizzato con il supporto di strumenti di intelligenza artificiale e successivamente verificato, modificato e approvato da Pasquale Ricciardi.
Torna al blog
Scopri cosa prevede l'AI Act europeo, chi deve adeguarsi e come mettere in regola sito ed ecommerce.
Leggi l'articolo
Scopri come trasformare le visite al sito in richieste di preventivo con CTA efficaci, moduli semplici e contenuti persuasivi.
Leggi l'articolo
Scopri le strategie più efficaci per proteggere un sito WordPress da malware, attacchi brute force e accessi indesiderati.
Leggi l'articolo
Scopri i 10 errori più comuni che impediscono al tuo sito web di generare clienti e come correggerli per aumentare le conversioni.
Leggi l'articolo
Scopri cause e soluzioni pratiche per velocizzare un sito WordPress lento e migliorare SEO e conversioni.
Leggi l'articolo
Scopri come sfruttare la SEO locale e Google Business Profile per far trovare la tua attività dai clienti giusti.
Leggi l'articoloChatbot realizzato da Pasquale Ricciardi · AI integrata per rispondere alle tue esigenze sul sito.