Il consiglio di sicurezza più comune per WordPress è una variante di «tieni tutto sempre aggiornato». Non è sbagliato, ma non è nemmeno abbastanza specifico da risultare utile. Alcuni aggiornamenti sono critici e richiedono attenzione in giornata. Altri sono minori e possono attendere la successiva finestra di manutenzione. Trattarli allo stesso modo porta o ad aggiornamenti continui e destabilizzanti o, più spesso, a un sito congelato in cui nessuno aggiorna più nulla perché ogni aggiornamento sembra rischioso.
Ecco un sistema di triage pragmatico per gli aggiornamenti di sicurezza di WordPress, con tre esempi concreti che mostrano come applicarlo.
Il sistema di gravità a tre livelli
Livello 1: Critico. Intervento in giornata. Sfruttamento attivo in circolazione, esecuzione di codice da remoto, aggiramento dell’autenticazione o qualsiasi vulnerabilità per cui è già disponibile una patch, indipendentemente dal giorno e dall’ora.
Livello 2: Importante. Intervento entro 7 giorni. Vulnerabilità verificata, nessuno sfruttamento attivo ancora osservato, punteggio CVSS da 7,0 a 8,9. Applica la patch nella prossima finestra di manutenzione pianificata, ma non aspettare due settimane. La maggior parte degli aggiornamenti di sicurezza rientra in questo livello.
Livello 3: Minore. Prossima manutenzione programmata. Vulnerabilità di bassa gravità (CVSS inferiore a 7,0), aggiornamenti che includono miglioramenti di sicurezza ma non correzioni critiche, o versioni di manutenzione generale. Da applicare durante la consueta manutenzione mensile.
Come stabilire la gravità
Il database delle vulnerabilità WPScan (gratuito per le verifiche individuali) e Patchstack mantengono entrambi feed in tempo reale delle vulnerabilità di plugin e temi di WordPress con punteggio CVSS. Per ogni plugin che utilizzi puoi iscriverti agli avvisi. Anche il plugin di Wordfence segnala i CVE rilevanti nella bacheca di amministrazione.
Le tre domande da porsi di fronte a qualsiasi divulgazione di vulnerabilità: la vulnerabilità è di dominio pubblico ed è già sfruttata? Qual è il punteggio CVSS? L’exploit richiede un utente autenticato o può attivarlo chiunque? «Pubblica, senza autenticazione, punteggio 9+» è la combinazione peggiore e significa quasi sempre Livello 1.
Esempio 1: una vulnerabilità di plugin di Livello 1
Un popolare plugin per moduli ha rilasciato una patch che correggeva un aggiramento dell’autenticazione. Punteggio CVSS 9,8. Sfruttamento attivo segnalato lo stesso giorno in cui è uscita la patch. Versione interessata: tutte quelle precedenti alla patch.
Risposta: applica la patch nel giro di poche ore. Se il sito non può essere aggiornato subito, disattiva il plugin finché non è possibile. Questo è il tipo di vulnerabilità che compromette i siti su vasta scala nell’arco di un solo fine settimana.
Esempio 2: un problema di tema di Livello 2
Un tema usato da diversi clienti di un’agenzia rende nota una vulnerabilità di XSS memorizzato. CVSS 7,4. Solo attaccante autenticato. Nessuno sfruttamento attivo osservato.
Risposta: programmalo per la finestra di manutenzione di questa settimana. Prova prima l’aggiornamento in un ambiente di staging, poi portalo in produzione entro cinque giorni lavorativi. Il rischio è reale, ma non immediato.
Esempio 3: una patch di routine di Livello 3
Un popolare plugin SEO rilascia una versione minore che include «miglioramenti di sicurezza» insieme a nuove funzionalità. Nessun CVE specifico citato, nessun punteggio di gravità, nessuna minaccia attiva.
Risposta: applicala durante la consueta manutenzione mensile insieme agli altri aggiornamenti di routine. Bassa urgenza.
Il protocollo di risposta più ampio
Per il Livello 1 la risposta è: disattiva o applica subito la patch, analizza il sito alla ricerca di indicatori di compromissione (file modificati, nuovi utenti amministratori, attività pianificate inaspettate) e presumi che il sito possa essere stato toccato se la vulnerabilità è rimasta pubblica per più di un giorno prima della patch.
Per il Livello 2 la risposta è: applica la patch in staging, prova, porta in produzione, documenta.
Per il Livello 3 la risposta è: raggruppala con altri aggiornamenti e applicala in un lotto pianificato.
Cosa rallenta i proprietari
Il maggiore ostacolo all’applicazione tempestiva degli aggiornamenti è la paura di rompere qualcosa. «E se l’aggiornamento del plugin rompe il sito?» è una preoccupazione legittima, e la risposta è: prima l’ambiente di staging, poi la produzione. Un flusso di lavoro che parte dallo staging trasforma gli aggiornamenti da decisione stressante in un’attività di routine.
Il secondo ostacolo è non sapere quali aggiornamenti contano. Il sistema di triage descritto sopra risolve questo problema. Una volta che un’azienda ha un sistema, le decisioni diventano di routine anziché valutazioni caso per caso.
Se gestire questo triage internamente è più di quanto il tuo team possa sostenere, è proprio a questo che serve un piano di manutenzione. I piani di manutenzione di Defyn includono un monitoraggio continuo delle vulnerabilità rispetto ai plugin che ogni sito utilizza davvero, così le decisioni di triage vengono prese per te e il giusto livello di risposta viene eseguito nella finestra corretta. La maggior parte dei clienti con questi piani non sente mai parlare di una vulnerabilità finché il report delle patch non arriva a fine mese, che è esattamente l’esperienza che si desidera da un flusso di lavoro di sicurezza.
