Se questo trimestre hai solo trenta minuti da dedicare alla sicurezza di WordPress, dedicali a un audit dei plugin. I plugin sono responsabili della maggior parte delle compromissioni di WordPress, e gran parte del rischio sulla maggior parte dei siti si concentra in un piccolo numero di plugin installati che sono obsoleti, abbandonati o semplicemente non più necessari. Un audit mirato individua tutte e tre le categorie.
Questo articolo ripercorre il processo di audit che eseguiamo su ogni sito che prendiamo in carico, e i criteri che usiamo per decidere quali plugin restano, quali vengono sostituiti e quali rimossi.
Passo 1: esporta l’elenco dei plugin
Inizia con l’avere davanti l’elenco completo dei plugin in un modo che puoi esaminare. Apri Plugin nell’amministrazione di WordPress. Annota ogni voce, attiva e inattiva. I plugin inattivi restano comunque su disco e possono ancora essere sfruttati. I loro file sono raggiungibili dal web pubblico. Un audit copre entrambi.
Per ogni plugin, registra il nome, la versione installata, la versione disponibile, l’autore e la data dell’ultimo aggiornamento. Molti siti hanno tra i 15 e i 30 plugin. Mettilo per iscritto.
Passo 2: controlla la data dell’ultimo aggiornamento
Per ogni plugin, trova la sua scheda nel repository di WordPress.org o sul sito del fornitore. Guarda la data dell’ultimo aggiornamento. Qualsiasi cosa negli ultimi tre mesi va bene. Tra tre e dodici mesi vale la pena tenerla d’occhio, ma è probabilmente accettabile. Più di un anno è un forte avvertimento. Più di due anni va trattato come abbandonato.
I plugin abbandonati sono pericolosi perché qualsiasi vulnerabilità pubblicata dall’ultimo aggiornamento non verrà mai corretta. WordPress.org ora segnala i plugin non aggiornati da molto tempo, ma la responsabilità resta tua: leggere l’avviso e agire.
Passo 3: controlla il numero di installazioni attive
I plugin con poche installazioni sono più rischiosi in due modi. Tendono a essere meno collaudati, quindi i difetti potrebbero non essere ancora stati individuati. E lo sviluppatore ha meno motivo commerciale per mantenerli, quindi gli aggiornamenti possono essere lenti. Un plugin con cento installazioni attive è molto più rischioso di uno con centomila, a parità di altre condizioni.
Non è una regola assoluta. Alcuni plugin di nicchia sono eccellenti. Ma poche installazioni unite a un ultimo aggiornamento datato sono una combinazione che dovrebbe metterti in allerta.
Passo 4: cerca le vulnerabilità note
Diversi database gratuiti pubblicano le vulnerabilità dei plugin WordPress. Il database di WPScan e quello di Patchstack sono i due più usati. Cerca il nome di ogni plugin. Se sono elencate vulnerabilità per la versione che stai usando, trattale come urgenti.
Anche Wordfence Premium e Solid Security includono il monitoraggio delle vulnerabilità e ti avvisano automaticamente quando un problema noto riguarda i tuoi plugin installati. Se gestisci un sito serio, uno di questi monitor vale l’abbonamento.
Passo 5: individua le categorie di plugin a rischio elevato
Alcune categorie di plugin hanno storicamente avuto più vulnerabilità di altre. I file manager, i plugin di backup, i plugin per i moduli di contatto, le estensioni per l’e-commerce e i plugin SEO compaiono in modo sproporzionato negli avvisi di sicurezza. Questo in parte perché sono i più installati, in parte perché gestiscono l’input più sensibile e in parte perché alcuni concedono agli amministratori capacità pericolose.
I plugin di gestione file in particolare hanno una lunga storia di falle di esecuzione di codice da remoto. Un’agenzia di Sydney che abbiamo verificato di recente era stata compromessa tramite un plugin file manager installato e dimenticato più di un anno prima. Quella famiglia di plugin ha molteplici vulnerabilità critiche storiche. La modifica di maggior impatto per quel sito sarebbe stata rimuovere del tutto il plugin.
Se non usi attivamente un plugin file manager nell’amministrazione di WordPress, rimuovilo. L’SFTP e il pannello di controllo del tuo host fanno lo stesso lavoro senza la superficie d’attacco.
Passo 6: chiediti se ogni plugin è ancora necessario
È la domanda più sottoutilizzata negli audit dei plugin. Per ogni plugin, chiediti onestamente se la funzionalità che fornisce è ancora in uso. Alcuni plugin sono stati installati per una campagna specifica conclusa due anni fa. Alcuni sono stati installati per risolvere un problema poi risolto in altro modo. Alcuni sono stati installati da uno sviluppatore precedente non più coinvolto.
Se non riesci ad articolare cosa fa un plugin sul tuo sito, rimuovilo e osserva cosa cambia. Un ambiente di staging rende tutto sicuro. Meno plugin esegui, minore è la superficie d’attacco, e più semplice diventa ogni aggiornamento futuro.
Passo 7: consolida i plugin che si sovrappongono
Molti siti hanno due plugin SEO attivi contemporaneamente, o tre livelli di cache impilati uno sull’altro, o due diversi plugin di moduli che gestiscono moduli differenti. Raramente è intenzionale. Si accumula negli anni man mano che persone diverse fanno scelte diverse.
Scegline uno. Migra il lavoro su di esso. Rimuovi il resto. Di solito, come effetto collaterale, il sito diventa più veloce.
Passo 8: valuta e dai priorità
Alla fine dell’audit dovresti avere, per ogni plugin, un giudizio chiaro. Mantieni, aggiorna, sostituisci o rimuovi. Dai priorità alle attività di rimozione e sostituzione rispetto agli aggiornamenti di routine. Qualsiasi cosa con una vulnerabilità nota è urgente.
Pianifica il lavoro. Esegui un backup prima di ogni rimozione. Testa il sito dopo. Una giornata mirata su un audit dei plugin, eseguita bene, può ridurre drasticamente il profilo di rischio di un sito WordPress ereditato.
Ogni quanto dovresti rifare l’audit?
Annualmente come minimo. Ogni sei mesi per un sito e-commerce o uno che gestisce dati sensibili. Dopo ogni cambio di sviluppatore o agenzia, perché il nuovo team avrà un giudizio diverso e potrebbe individuare qualcosa che il precedente ha mancato.
Ti serve una mano?
Se vuoi che Defyn esegua un audit dei plugin sul tuo sito WordPress, ti consegni un report scritto con le nostre raccomandazioni ed esegua la pulizia, mettiti in contatto. È uno dei lavori a maggior impatto che facciamo.
