WordPress a ottobre: un aggiornamento ufficiale con malware e plugin sfruttati, cosa verificare

WordPress è il sistema più diffuso per i siti delle PMI, anche in Ticino. La regola di base per tenerlo sicuro è nota: installare gli aggiornamenti appena escono. A metà ottobre 2026 però è successo il contrario di quanto ci si aspetta: per alcune ore è stato proprio un aggiornamento ufficiale a portare il malware sui siti.

Il caso riguarda Rank Math SEO PRO, la versione a pagamento di un plugin SEO molto usato. Nelle stesse settimane sono state corrette, e in parte già sfruttate, falle critiche nel nucleo di WordPress e in diversi plugin. Qui sotto trovate i fatti verificati e una lista di controlli per chi ha un sito WordPress o lo fa gestire a un fornitore.

Cosa è successo con Rank Math PRO

Secondo l'avviso pubblicato dal produttore, un numero limitato di utenti che hanno scaricato Rank Math PRO 3.0.123 tra il 15 ottobre 2026 alle 22:02 e il 16 ottobre alle 09:12 (ora svizzera; 20:02-07:12 UTC) ha ricevuto file del plugin contenenti malware. Le copie manipolate arrivavano dal canale di distribuzione ufficiale: erano interessati sia i download sia gli aggiornamenti del plugin. Rank Math ha rimosso i file e pubblicato il 16 ottobre la versione pulita 3.0.124, come indicato nel registro delle modifiche.

Il malware, se il plugin veniva attivato, poteva aprire un accesso permanente al sito, ricreare porte di accesso nascoste a ogni visita, creare account amministratore e rendere leggibili le credenziali presenti sul server: database, chiavi API, accessi a servizi di pagamento e di posta. Al caso è stato assegnato l'identificativo CVE-2026-111862, con punteggio 9,8 su 10. L'avviso del produttore non indica quanti siti siano stati colpiti né come i file manipolati siano finiti nel canale di distribuzione.

La versione gratuita di Rank Math SEO distribuita su WordPress.org, secondo il produttore, non è interessata.

Perché questo caso è diverso

Di solito il problema è una versione vecchia: si aggiorna e la falla è chiusa. Qui non basta guardare il numero di versione. Una copia di 3.0.123 scaricata prima o dopo la finestra delle undici ore è pulita; conta quando è stata scaricata e se è stata attivata. E soprattutto, passare alla 3.0.124 non elimina quanto il malware ha già installato: account aggiunti, file nascosti, attività pianificate e credenziali già lette restano.

Rank Math distingue tre situazioni:

• Versione 3.0.123 installata e attivata nel periodo indicato: il sito va considerato compromesso.
• Installata ma mai attivata: eliminare i file del plugin, installare la 3.0.124 dal proprio account Rank Math ed eseguire una scansione di sicurezza.
• Solo scaricata, senza installarla: secondo il produttore non ci sono indizi di compromissione legati a questo episodio.

Le altre falle WordPress di queste settimane

Il caso Rank Math non è isolato. Tra settembre e ottobre 2026:

• Nucleo di WordPress: la versione 7.1.2 del 22 settembre ha corretto una falla critica (CVE-2026-87902) che, in determinate configurazioni del server e del tema, permette di eseguire codice senza login. Secondo Patchstack, citata da BleepingComputer, i primi tentativi di sfruttamento sono arrivati meno di cinque ore dopo la correzione. Il 6 ottobre è seguita la versione 7.1.3 con sette correzioni di sicurezza; è la versione attuale alla data di questo articolo. La correzione è stata portata anche sulle versioni precedenti, fino alla 4.7.
• Bricksforge, estensione a pagamento per il costruttore di pagine Bricks: falla critica che permette di caricare ed eseguire codice senza login, sfruttata dal 7 ottobre secondo Patchstack. Corretta nella 3.1.8.10.
• Ninja Forms e WPC Product Bundles for WooCommerce: falle usate in una campagna, per ora limitata, che installava un falso plugin e creava amministratori (BleepingComputer). Corrette nelle versioni 3.15.4 e 8.6.7.
• The Grid (fino alla 2.8.1, corretta nella 2.8.2), Theme My Login (fino alla 7.2.1, corretta nella 7.2.2, interessate solo alcune installazioni multisito) e MailOptin (fino alla 1.2.78.6, corretta nella 1.2.78.7): falle critiche sfruttabili senza login, che Patchstack segnala come note per essere sfruttate.

Un punto pratico: Rank Math PRO, Bricksforge e The Grid sono plugin a pagamento. Non compaiono negli aggiornamenti di WordPress.org e i loro file non si possono confrontare con le somme di controllo pubbliche. Gli aggiornamenti arrivano solo dal canale del produttore, e spesso sono proprio questi plugin a restare indietro.

Cosa fare adesso

1. Fare l'inventario

Per ogni sito WordPress annotate la versione di WordPress e l'elenco dei plugin con la relativa versione, distinguendo quelli gratuiti da quelli a pagamento. Se il sito è gestito da un fornitore, chiedetegli questo elenco per iscritto.

2. Rank Math PRO: stabilire quando è arrivata la 3.0.123

Se usate Rank Math PRO, verificate se la 3.0.123 è stata installata tra il 15 ottobre alle 22:02 e il 16 ottobre alle 09:12, per esempio dal registro degli aggiornamenti, dalle date dei file o dalla comunicazione ricevuta dal produttore. Se è stata attivata in quel periodo, seguite la procedura dell'avviso: il ripristino raccomandato è da un backup completo (file e database) precedente all'inizio del periodo, seguito dal cambio di tutte le credenziali. La pulizia manuale è possibile, ma va fatta nell'ordine indicato dal produttore e preferibilmente da un professionista o dal fornitore di hosting. Disattivare il plugin non basta.

3. Cambiare le credenziali, anche dopo il ripristino

Rank Math considera questo passaggio essenziale anche dopo un ripristino: password degli utenti WordPress, password del database, chiavi di sicurezza di WordPress, chiavi API, credenziali di posta e di pagamento, accessi all'hosting, FTP/SFTP e SSH. Verificate poi l'autenticazione a più fattori degli amministratori (vedi i cinque livelli di sicurezza degli accessi dell'UFCS).

4. Aggiornare il resto

Portate WordPress alla 7.1.3 e i plugin citati almeno alle versioni corrette. Dove un aggiornamento non è possibile subito, disattivate il plugin. Dopo l'aggiornamento controllate l'elenco degli amministratori e le modifiche recenti a password e indirizzi email: l'aggiornamento chiude la falla, ma non annulla un accesso già avvenuto. Verificate anche la versione di PHP del server, dopo le vulnerabilità PHP della scorsa settimana.

5. Tenere backup e registro degli aggiornamenti

Questo caso mostra il valore di due cose semplici: backup giornalieri conservati per almeno qualche settimana, che permettono di tornare a uno stato precedente a una data precisa, e un registro di quando ogni plugin è stato aggiornato. Senza questi due elementi è difficile rispondere alla domanda «il nostro sito era esposto?».

6. Diffidare delle email «di sicurezza»

Rank Math precisa che non invia mai link di accesso o di download via email. Dopo episodi del genere circolano spesso falsi avvisi che invitano a scaricare una «versione corretta»: scaricate gli aggiornamenti solo accedendo direttamente al sito del produttore.

Obblighi di segnalazione in Svizzera

Un sito WordPress compromesso può esporre dati di clienti, per esempio moduli di contatto, ordini o account utente:

• Protezione dei dati (nLPD): una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per le persone interessate va notificata quanto prima all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), secondo l'art. 24 LPD. L'IFPDT mette a disposizione un modulo online.
• Infrastrutture critiche: dal 1° aprile 2025 i gestori di infrastrutture critiche, comprese le amministrazioni cantonali e comunali, devono segnalare i ciberattacchi all'UFCS entro 24 ore dalla scoperta.
• Per le altre imprese la segnalazione all'UFCS è volontaria, ma aiuta a valutare il caso.

Lo studio «PMI Cybersicurezza 2026» ha mostrato che proprio la preparazione organizzativa è il punto debole di molte PMI: sapere chi gestisce il sito, dove sono i backup e chi decide in caso di incidente.

Domande frequenti

Uso la versione gratuita di Rank Math: devo fare qualcosa?

Secondo il produttore no: l'episodio riguarda solo Rank Math PRO. Restano validi gli aggiornamenti abituali di WordPress e degli altri plugin.

Ho già aggiornato alla 3.0.124: sono a posto?

Solo se la 3.0.123 manipolata non è mai stata attivata. Se lo è stata, l'aggiornamento sostituisce il plugin ma non rimuove ciò che il malware ha installato: serve un ripristino da backup o una pulizia completa, e il cambio delle credenziali.

Gli aggiornamenti automatici sono ancora una buona idea?

Sì. Un sito con versioni vecchie resta esposto alle falle sfruttate citate sopra, che sono molto più frequenti di un aggiornamento manipolato. Conviene però abbinarli a backup regolari e a un registro degli aggiornamenti.

Il mio sito è gestito da un'agenzia: cosa chiedo?

Chiedete per iscritto se il sito usa Rank Math PRO o uno dei plugin citati, quando sono stati aggiornati, se esistono backup precedenti al 15 ottobre e se sono stati eseguiti controlli su account e file.

Il nostro approccio

ElaraTeq Sagl sviluppa e gestisce siti e applicazioni per PMI ed enti pubblici in Ticino, con hosting in Svizzera. Possiamo verificare il vostro sito WordPress, aggiornare nucleo e plugin, controllare account e file e impostare backup e registro degli aggiornamenti. Per la gestione continuativa c'è il servizio descritto in Orbit; per una verifica contattateci.

Fonti

• Rank Math, «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website», ottobre 2026: rankmath.com; registro delle modifiche di Rank Math PRO: v3.0.124 del 16 ottobre 2026
• CVE Program, CVE-2026-111862 (pubblicato il 19 ottobre 2026)
• BleepingComputer, 19 ottobre 2026: WordPress SEO plugin Rank Math compromised to backdoor websites; SecurityWeek, 19 ottobre 2026: Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack
• WordPress.org, WordPress 7.1.2 Release, 22 settembre 2026; WordPress 7.1.3 Maintenance and Security Release, 6 ottobre 2026
• BleepingComputer, 23 settembre 2026: Hackers start exploiting critical WordPress flaw for code execution
• Patchstack, 8 ottobre 2026: Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin; BleepingComputer, 6 ottobre 2026: Ninja Forms plugin flaw exploited to hack WordPress sites
• Patchstack, schede di vulnerabilità: The Grid, Theme My Login, MailOptin; CVE Program, CVE-2026-89079 (Theme My Login)
• IFPDT, Notifica di violazioni della sicurezza dei dati; UFCS, Obbligo di notifica dei ciberattacchi alle infrastrutture critiche