Plugin falsi in WordPress: come riconoscere e rimuovere le minacce nascoste

Installare un plugin su WordPress è semplice, ma come fai a sapere se è davvero sicuro? Anche un’estensione che sembra affidabile può nascondere codice dannoso, soprattutto se proviene da siti non ufficiali. A volte il rischio arriva dagli aggiornamenti: un plugin che utilizzi da tempo può essere compromesso e continuare a funzionare senza che tu te ne accorga.

Esistono persino plugin malevoli capaci di sparire dall’elenco delle estensioni installate, pur rimanendo attivi sul sito web. Ecco perché vale la pena sapere quali segnali controllare, come verificare i plugin prima di installarli e cosa fare quando si sospetta un’infezione.

Come arriva un plugin malevolo su un sito web?

Tra le estensioni più rischiose ci sono i cosiddetti plugin “nulled”, copie gratuite di prodotti a pagamento distribuite attraverso siti non ufficiali. Possono sembrare identici agli originali e funzionare normalmente, ma nascondere del codice malevolo capace di compromettere il portale senza dare segnali evidenti.

Un attacco può arrivare anche dall’esterno. Se un criminale informatico riesce a impossessarsi delle credenziali FTP o dell’hosting, può caricare file dannosi direttamente sul server.

Per questo è importante proteggere gli accessi, soprattutto quando si lavora fuori casa o dall’ufficio. Se utilizzi reti Wi-Fi pubbliche, ad esempio, una delle migliori VPN può aiutarti a cifrare il traffico internet. Conviene inoltre scegliere un servizio con una politica no-log verificata da controlli indipendenti.

Cosa rischia un sito compromesso?

Un plugin malevolo può permettere ai criminali informatici di accedere al sito web, rubare password o reindirizzare i visitatori verso pagine fraudolente. Nei casi più gravi, può anche installare una web shell, un file che consente di eseguire comandi sul server.

Eliminare il plugin potrebbe non bastare, perché il malware può modificare altri file di WordPress al fine di mantenere attivo l’accesso. Inoltre, se il portale inizia a diffondere dei contenuti pericolosi, i browser possono segnalarlo come non sicuro e il provider hosting potrebbe sospenderlo.

Quali controlli fare prima dell’installazione di un plugin?

Prima di installare un plugin su WordPress, controlla che provenga da una fonte affidabile, come la directory ufficiale WordPress.org o il sito dello sviluppatore.

Per capire se è sicuro:

• Controlla la data dell’ultima versione e la compatibilità con WordPress.
• Leggi le opinioni più recenti e verifica il numero di installazioni attive.
• Assicurati che sia quello ufficiale, soprattutto se il nome del plugin somiglia a quello di un prodotto conosciuto.
• Consulta le modifiche introdotte dagli aggiornamenti e fai attenzione a eventuali cambi di proprietario.

Anche scaricare un plugin da una fonte ufficiale non elimina completamente il rischio. Nel 2026, Officine WordPress ha ricostruito il caso EssentialPlugin: dopo il cambio di proprietario, 31 plugin sono stati compromessi con una backdoor, un accesso nascosto che permetteva agli aggressori di compromettere i siti web su cui erano installati.

Come controllare i plugin già presenti sul sito web?

Alcuni plugin malevoli riescono a nascondersi dalla bacheca di WordPress, pur rimanendo attivi. Nel 2025, ad esempio, Wordfence ha scoperto un falso plugin di sicurezza chiamato WP-antymalwary-bot.php, che poteva ricomparire anche dopo la rimozione, come riportato da TechRadar Italia.

Per individuare file sospetti, accedi al portale tramite SFTP e confronta il contenuto di wp-content/plugins con l’elenco delle estensioni installate. Controlla anche la cartella wp-content/mu-plugins.

Se utilizzi WP-CLI, puoi verificare l’integrità dei plugin scaricati da WordPress.org con il comando wp plugin verify-checksums –all. Per maggiore sicurezza, esegui anche una scansione antimalware.

Hai trovato un plugin sospetto? Cosa fare

Se sospetti che un plugin abbia compromesso il tuo sito web, prima di eliminarlo salva una copia dei file e del database, così da poter analizzare l’accaduto. Rimuovi quindi il codice dannoso e reinstalla WordPress e le estensioni utilizzando soltanto fonti ufficiali.

Controlla anche gli account amministratore: se ne trovi qualcuno che non riconosci, potrebbe essere stato creato durante l’attacco. Cambia poi le password di WordPress, hosting, SFTP e database. Se necessario, revoca le chiavi API compromesse e aggiorna le chiavi di sicurezza nel file wp-config.php.

Attenzione, però: cancellare il plugin sospetto potrebbe non risolvere il problema. Il malware potrebbe aver lasciato altri file sul server. Per questo conviene eseguire una scansione completa e controllare i log nei giorni successivi, per verificare che l’attacco non si ripeta.

Come ridurre il rischio in futuro

Una volta ripulito il sito web, controlla quali plugin utilizzi davvero. Rimuovi quelli superflui, verifica regolarmente gli aggiornamenti disponibili e mantieni WordPress aggiornato all’ultima versione supportata.

Per gli account amministratore, attiva l’autenticazione a due fattori e concedi questi privilegi soltanto a chi ne ha effettivamente bisogno. Quando devi trasferire file sul server, assicurati di utilizzare SFTP al posto di FTP standard.