Aggiornare i plugin di WordPress: cosa succede se non lo fai
Il pallino degli aggiornamenti nella bacheca non è una richiesta di ordine. Perché un aggiornamento di sicurezza è ciò che rende pubblica la falla, quale plugin è davvero pericoloso e cosa cambia dall'11 settembre.
In quasi ogni bacheca di WordPress c'è un numeretto accanto a Plugin. Non dà fastidio a nessuno. Lo si chiude perché in quel momento c'è altro da fare, e al login successivo il numero è più grande. La cosa notevole è che non succede niente. La pagina si carica, il modulo di contatto invia, il negozio incassa. Il problema sta esattamente lì. Il costo dell'inerzia resta invisibile finché non lo è più, e a quel punto arriva tutto insieme.
Questo articolo spiega cosa accade davvero tra il pallino di aggiornamento e l'incidente, dal punto di vista di chi quegli aggiornamenti li scrive. Costruiamo plugin per WordPress, pubblichiamo gli aggiornamenti di cui si parla qui e vediamo cosa succede dopo.
Perché un avviso di aggiornamento non è una richiesta di ordine
1. Un aggiornamento di sicurezza è ciò che rende pubblica la falla
È il punto che quasi nessuno conosce e ribalta l'intuizione. Finché una falla di sicurezza dorme non scoperta dentro un plugin, nessuno ne sa nulla. Nel momento in cui lo sviluppatore la chiude e pubblica la nuova versione nasce qualcosa di nuovo: un confronto pubblico tra il prima e il dopo. I plugin di WordPress sono sotto licenza GPL, il codice sorgente è aperto e ogni versione resta consultabile nella directory. Mettere due versioni una accanto all'altra e vedere quale riga è cambiata è lavoro di routine.
Pubblicare un aggiornamento di sicurezza significa quindi pubblicare anche la strada verso la falla nella versione vecchia. Non è un argomento contro gli aggiornamenti, è l'argomento più forte a favore di aggiornamenti rapidi. Il periodo più pericoloso nella vita di una falla non comincia quando viene scritta, comincia quando viene corretta. Chi aggiorna tre settimane dopo ha tenuto in esercizio per tre settimane una debolezza documentata.
2. Nessuno ti attacca, qualcosa ti scansiona
L'obiezione più comune è che un sito è troppo piccolo perché qualcuno se ne occupi. Questo presuppone che dall'altra parte ci sia una persona che sceglie. Non c'è. Quello che gira sono scansioni automatiche che smaltiscono liste di indirizzi cercando impronte: percorsi che crea solo un determinato plugin, indicazioni di versione in file leggibili pubblicamente, risposte che tradiscono una versione precisa.
Per questo processo non fa differenza se il sito ha dieci o diecimila visitatori. Non interessa la portata, interessano il server, la casella per l'invio di spam e lo spazio per i reindirizzamenti. Un sito piccolo non è quindi un bersaglio peggiore, è solo meno vistoso. È anche il motivo per cui molte intrusioni restano inosservate per mesi.
3. Un plugin è più del codice scritto dallo sviluppatore
Quasi ogni plugin di una certa dimensione porta con sé librerie di terzi: per generare PDF, elaborare immagini, collegare pagamenti, disegnare grafici. Stanno nella cartella del plugin e vengono distribuite insieme. Se in una di quelle librerie emerge una falla, dipende unicamente dal fornitore del plugin se la versione corretta arriva fino a te. Queste dipendenze non si vedono nella bacheca e non puoi nemmeno aggiornarle per conto tuo.
Dal lato di chi sviluppa, è una buona parte del nostro lavoro di aggiornamento e resta del tutto invisibile dall'esterno. Una release il cui changelog dice soltanto che sono state aggiornate le dipendenze sembra niente e può essere comunque la più importante del trimestre.
4. Il plugin più pericoloso è quello abbandonato
Un plugin che da due anni non riceve aggiornamenti non è innocuo perché non è successo niente. È pericoloso perché non succederà più niente. Se lì viene trovata una falla, nessun aggiornamento arriverà, e di norma non lo verrai a sapere.
Quanto sia diffuso lo abbiamo visto in una ricerca interna. Per la nostra panoramica di mercato abbiamo esaminato articoli comparativi e verificato alla fonte i plugin consigliati. In un articolo recente con venti raccomandazioni, cinque risultavano chiusi nella directory di WordPress. L'articolo continua a consigliarli, e chi li ha installati vede nella propria lista plugin esattamente quello che vedeva prima: un nome, un numero di versione, nessun avviso. Un plugin chiuso non sparisce dal tuo sito, smette soltanto di consegnare aggiornamenti.
Come funziona dalla nostra parte
Stiamo dall'altro lato di questo processo, quindi ecco la parte poco appariscente.
Serve un indirizzo a cui qualcuno possa scrivere. Chi trova una falla deve poterla segnalare senza passare da un modulo di contatto che finisce nel commerciale. Per questo teniamo un indirizzo di sicurezza dedicato. Non è una grande impresa, ma è la differenza tra una segnalazione che arriva e una che prima o poi diventa pubblica perché nessuno ha risposto.
Preferiamo pubblicare piccolo e spesso invece che grande e di rado. Un esempio di questa settimana: il 17 agosto è uscita la nostra versione 2.3.0 e il 18 agosto la 2.3.1, perché il banner di consenso veniva mostrato di nuovo a visitatori che avevano già deciso. Nessuna falla di sicurezza, solo una seccatura. Anche così una cosa del genere esce subito e non aspetta il prossimo pacchetto grande. Il motivo è concreto: una release che cambia una cosa si può verificare. Una release che cambia otto cose non permette più a nessuno di risalire all'unica modifica che ha rotto il layout.
E la parte che i fornitori scrivono malvolentieri: a volte gli aggiornamenti vanno storti. Non è teoria, è la nostra quotidianità quanto la tua. Chi sostiene che i propri aggiornamenti siano privi di rischio ha pochi utenti oppure poca memoria. La risposta giusta non è aggiornare più di rado, è tenere piccolo e ripristinabile ogni singolo aggiornamento. Se dopo un aggiornamento ti compare una schermata bianca, è fastidioso e si risolve in dieci minuti. Un'intrusione no.
La frase never touch a running system viene da un mondo in cui il sistema stava in una stanza e la porta era chiusa a chiave. La tua installazione di WordPress sta su internet. Il suo contorno cambia ogni giorno anche se non tocchi niente: versioni di PHP, browser, il core di WordPress e gli strumenti di chi cerca versioni vecchie. Un sistema che non si muove non diventa più stabile in quel contorno, diventa soltanto più vecchio.
Cosa cambia il Cyber Resilience Act dall'11 settembre
Il Cyber Resilience Act è un regolamento europeo per i prodotti con elementi digitali, e il software è uno di questi. Dall'11 settembre 2026 valgono gli obblighi di segnalazione: le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi devono essere segnalati. Il resto degli obblighi arriva in modo scaglionato.
Per i fabbricanti si riduce nella sostanza a tre cose che prima erano volontarie: trattare le vulnerabilità in modo ordinato, mettere a disposizione aggiornamenti di sicurezza per un periodo dichiarato e avere un punto di contatto raggiungibile per farlo. Chi ha già provato a raggiungere lo sviluppatore di un plugin fermo al 2021 capisce subito quale problema si sta affrontando.
Due riserve fanno onestamente parte del quadro. La prima: chi conta come fabbricante nel caso del software libero e open source è proprio il punto ancora in discussione. Qui lo descriviamo, non lo decidiamo al posto tuo. Questo articolo è un inquadramento e non una consulenza legale, e per il caso concreto non esiste scorciatoia che eviti una verifica professionale. La seconda: il CRA non aggiorna il tuo sito. Cambia cosa puoi aspettarti da un fornitore, non chi installa l'aggiornamento. Quello resta compito tuo, e se segui siti per clienti diventa un compito contrattuale.
In pratica, per la scelta: un plugin che non indica né un indirizzo di sicurezza né un periodo di supporto non è automaticamente scadente. Ma dice qualcosa su quanta struttura c'è dietro, e questa informazione da ora in poi la ottieni senza doverla chiedere.
In pratica: aggiornare senza smontarsi il sito
Un backup che hai già ripristinato almeno una volta. Un backup mai ripristinato non è una tutela, è una speranza. Provalo una volta e saprai quanto ci vuole e se funziona davvero. Quali strumenti servano allo scopo è raccontato nell'articolo sui plugin di backup per WordPress.
Aggiornamenti automatici per le release di sicurezza, manuali per tutto il resto. WordPress sa aggiornare i plugin da solo. Per le piccole versioni correttive è l'impostazione giusta, perché lì conta soprattutto il tempo tra pubblicazione e installazione. Per i salti di versione grandi, che portano funzioni nuove, l'occhiata manuale ripaga.
Trenta secondi nel changelog. Se c'è scritto security fix, la faccenda è urgente e non trattabile. Se è descritta una funzione nuova di cui non hai bisogno, può aspettare il fine settimana.
Un ambiente di prova appena il sito produce reddito. Per un blog basta un backup. Per un negozio o un'area riservata vuoi aver visto l'aggiornamento altrove prima che lo vedano i clienti.
Due volte l'anno, inventario. Ogni plugin che non ti serve più è superficie di attacco senza contropartita. Disattivare non basta, perché i file restano sul server. Cancellare.
Come si riconosce un plugin che ti lascerà a piedi
| Segnale | Dove lo vedi | Che cosa significa |
|---|---|---|
| Ultimo aggiornamento oltre un anno fa | Pagina del plugin nella directory | Manutenzione ferma o molto rallentata |
| Testato fino a due versioni del core indietro | Pagina della directory, lista plugin | Il fornitore non verifica più contro i core attuali |
| Discussioni di supporto senza risposta | Forum di supporto su wordpress.org | Non legge più nessuno |
| Pagina della directory non più raggiungibile | wordpress.org, plugin chiuso | Non arrivano più aggiornamenti e il plugin continua a girare sul tuo sito |
| Nessun indirizzo di sicurezza rintracciabile | Sito del fornitore, security.txt | Una segnalazione con ogni probabilità non raggiunge lo sviluppatore |
| Il changelog parla solo di correzioni varie | Changelog | Non puoi valutare l'urgenza |
Plugin ancora mantenuti quando ti servono
Costruiamo i nostri plugin in Germania, pubblichiamo subito le piccole versioni correttive invece di raccoglierle e teniamo un indirizzo dedicato alle segnalazioni di sicurezza. Ogni versione Free resta gratuita, e le versioni a pagamento sono elencate nella pagina dei prezzi.
Domande frequenti
Devo davvero installare subito ogni aggiornamento dei plugin?
Per gli aggiornamenti di sicurezza sì, e per un motivo preciso: con la pubblicazione della correzione la falla della versione vecchia diventa ricostruibile, perché le due versioni si possono confrontare. Per gli aggiornamenti di funzione puoi prendertela con calma, e uno sguardo al changelog basta a inquadrare la cosa. La regola pratica è che tutto ciò che viene descritto come security fix entra subito, il resto può attendere.
Cosa faccio se un aggiornamento mi rompe il sito?
Ripristina il backup oppure rinomina via FTP la cartella del plugin interessato, così WordPress lo disattiva da solo alla chiamata successiva. Poi segnala il problema al fornitore, perché se è capitato a te sta capitando anche ad altri. Per questo l'ordine conta: prima verificare il backup, poi aggiornare, mai il contrario.
Come capisco che un plugin è stato abbandonato?
Nella pagina della directory si trovano la data dell'ultimo aggiornamento, la versione di WordPress con cui è stato provato e il forum di supporto. Un anno senza aggiornamenti, discussioni senza risposta e un valore vecchio alla voce testato fino a sono insieme un segnale netto. Il caso più duro è una pagina della directory non più raggiungibile: allora il plugin è chiuso, non arrivano più aggiornamenti e sul tuo sito continua comunque a girare.
Il Cyber Resilience Act riguarda anche chi gestisce solo un sito?
Gli obblighi del regolamento si rivolgono a fabbricanti, importatori e distributori di prodotti con elementi digitali, non a te come utente di un plugin. In pratica per te cambia soprattutto la scelta: un contatto di sicurezza e un periodo di supporto dichiarato diventano un'aspettativa verso il fornitore. Chi segue siti per conto di clienti dovrebbe però far chiarire il proprio ruolo da un professionista. Questo articolo non è una consulenza legale.
Gli aggiornamenti automatici sono pericolosi?
Sono uno scambio. Cedi il controllo sul momento e guadagni velocità esattamente dove la velocità conta. Per le versioni correttive è quasi sempre l'affare migliore, perché tiene corta la finestra rischiosa dopo una pubblicazione. Per i salti di versione grandi su un sito che produce reddito ha più senso la strada manuale con ambiente di prova.
