Cosa fanno gli avvisi sulle vulnerabilità
Un plugin senza problemi noti al momento dell’installazione può, qualche mese dopo, essere colpito da una falla resa pubblica. Ogni giorno, WP Masquerade Pro confronta le versioni installate dei tuoi plugin, dei tuoi temi e di WordPress con il database pubblico delle vulnerabilità note di WPVulnerability.net. Per ogni elemento interessato, il riquadro «Vulnerabilità note» della scheda Monitoraggio indica:
- la gravità: Critica, Alta, Media o Bassa, con il punteggio CVSS quando è noto;
- il tipo di falla, spiegato in parole semplici: cosa può fare concretamente un aggressore;
- chi può sfruttarla: chiunque senza un account, un utente registrato anche con un ruolo basso, oppure solo un amministratore;
- i riferimenti: identificativi CVE, versione che corregge la falla, data di pubblicazione e link alle fonti;
- cosa fare: per esempio «Aggiorna subito alla versione 6.2.3» oppure, se non è stata pubblicata alcuna correzione, disattivare il plugin e sostituirlo con un’alternativa mantenuta.
Perché è utile
La maggior parte delle falle di WordPress rese pubbliche riguarda plugin e temi, non il core. Una volta resa pubblica una falla, i bot possono cercare i siti che usano la versione colpita. Sapere che un plugin installato è interessato, cosa permette la falla e quale versione la corregge ti consente di aggiornare con cognizione di causa, partendo da ciò che è più grave.
Hai più siti da seguire? Il numero di vulnerabilità note di ogni sito arriva anche, ogni giorno, nella tua area clienti, insieme agli aggiornamenti in attesa: un sito colpito appare come «Vulnerabile», in cima all’elenco. Per un’agenzia è l’elenco dei siti dei clienti da trattare per primi, senza dover accedere a ciascuno. Come funziona il monitoraggio.
Anche i plugin disattivati vengono controllati: finché i loro file sono sul server, possono essere attaccati direttamente. Il riquadro lo ricorda e consiglia di eliminare ciò che non usi.
| Tipo di falla | Cosa permette, come spiegato nel riquadro |
|---|---|
| Esecuzione di codice da remoto | Un aggressore può eseguire il proprio codice sul server: in pratica, il controllo completo del sito. |
| Caricamento arbitrario di file | Un aggressore può caricare un file a sua scelta, per esempio uno script PHP, e poi eseguirlo. |
| SQL injection | Comandi inseriti nelle query al database permettono di leggere o modificare dati (indirizzi email, hash delle password). |
| Aggiramento dell’autenticazione | Un aggressore può accedere o agire come un altro utente senza conoscerne la password. |
| Escalation dei privilegi | Un utente con un ruolo basso (sottoscrittore, collaboratore) può attribuirsi più diritti, fino a diventare amministratore. |
| Cross-site scripting (XSS) | Uno script dell’aggressore viene eseguito nel browser dei visitatori o degli amministratori, con i diritti della persona che visualizza la pagina. |
| Autorizzazione mancante | Un’azione riservata agli amministratori può essere eseguita da visitatori o da utenti con un ruolo basso. |
Cosa è incluso Funzione Pro
- Controllo quotidiano tramite WP-Cron, e pulsante Verifica ora.
- Plugin, temi e WordPress, attivi o meno; il confronto tra la versione installata e le versioni colpite da ogni falla avviene sul tuo sito.
- Raccomandazione per ogni elemento, che tiene conto dell’aggiornamento proposto in Bacheca → Aggiornamenti quando corregge la falla.
- Dicitura «Nuovo» per le falle comparse dopo il controllo precedente e, in quel caso, email ai destinatari degli avvisi (opzione attiva di default).
- Segnalazione dei plugin chiusi su WordPress.org, che lì non ricevono più aggiornamenti.
- Elenco degli elementi senza vulnerabilità note nella versione installata.
Come usarlo
- Apri WP Masquerade → Monitoraggio (l’icona a forma di maschera nel menu di amministrazione), riquadro «Vulnerabilità note». Il primo controllo avviene circa due ore dopo l’attivazione di Pro; clicca su Verifica ora per avviarlo subito.
- Occupati prima degli elementi contrassegnati come Critica o Alta: compaiono per primi.
- Segui la sezione «Cosa fare»: di solito, aggiornare da Bacheca → Aggiornamenti. Se non è stata pubblicata alcuna correzione, disattiva ed elimina il plugin, poi sostituiscilo con un’alternativa mantenuta.
- Elimina i plugin e i temi che non usi, poi clicca di nuovo su Verifica ora.
- Lascia selezionata l’opzione email per essere avvisato delle prossime falle.
Cosa viene inviato, e a chi
I dati provengono da WPVulnerability.net, un database aperto e gratuito i cui dati sono di pubblico dominio. Ogni falla rimanda alle sue fonti (cve.org, Wordfence, Patchstack, WPScan… a seconda dei casi).
Solo il nome (slug) e la versione dei plugin e dei temi e la versione di WordPress lasciano il tuo sito, verso il nostro server delle licenze: verifica che la licenza sia attiva per questo sito, interroga WPVulnerability.net e ti restituisce le falle che riguardano le tue versioni. Non conserva alcun elenco per sito (solo una cache comune per plugin e la data dell’ultima verifica). Il contenuto del tuo sito non viene mai trasmesso. Le estensioni non distribuite su WordPress.org non vengono inviate.
Limiti e precauzioni
- Possono essere segnalate solo le falle note e pubblicate. Una falla ancora sconosciuta non compare da nessuna parte: mantieni tutto aggiornato, anche senza avvisi.
- I plugin e i temi assenti da WordPress.org non vengono controllati.
- I dati sono forniti così come sono da WPVulnerability.net, tramite il nostro server delle licenze: serve una licenza Pro attiva. Se il servizio non risponde, viene mantenuto l’ultimo risultato noto dell’elemento e la richiesta viene ripetuta un’ora dopo.
- Per non sovraccaricare il server, un controllo si interrompe dopo 25 secondi e riprende automaticamente qualche minuto più tardi.
- I controlli dipendono da WP-Cron: su un sito poco visitato, possono partire con un po’ di ritardo.
- L’avviso informa: non blocca nulla e non aggiorna nulla al posto tuo.
Inizia gratis, passa a Pro quando sei pronto
La versione gratuita nasconde già WordPress, sposta la pagina di login, blocca XML-RPC e conta i bot. Pro blinda i login, rinomina gli indirizzi dei file e monitora i tuoi siti al posto tuo: vulnerabilità note, integrità del core, registro delle attività, avvisi via email e stato degli aggiornamenti di tutti i tuoi siti nella tua area clienti. Da 59 € + IVA all’anno, molto meno delle offerte di pulizia di cui abbiamo rilevato i prezzi. Confronta i costi.
