Centro Assistenza
Homepage WordPress

Vulnerabilità di sicurezza di WordPress "wp2shell" – informazioni importanti sul tuo contratto IONOS

Valido per WordPress

Il 17 luglio 2026 sono state risolte due vulnerabilità nel sistema di gestione dei contenuti WordPress. La combinazione di queste due vulnerabilità, nota come wp2shell, consentiva l'iniezione di codice dannoso e l'assunzione del controllo di un'installazione di WordPress, senza che fossero necessarie l'autenticazione o l'interazione dell'utente.
In questo articolo del Centro Assistenza trovi tutti i dettagli per capire cos'è successo, come verificare se il tuo sito è stato compromesso e le azioni da intraprendere subito.

Versioni di WordPress interessate

Solo le seguenti versioni di WordPress sono state esposte allo sfruttamento delle vulnerabilità note come wp2shell:

  • WordPress 6.9.x < 6.9.5
  • WordPress 7.0.x < 7.0.2
  • WordPress 7.1 beta < 7.1 beta2
  • WordPress 6.8.x < 6.8.6 (interessata solo da una delle due vulnerabilità)

Se la tua installazione di WordPress utilizzava una di queste versioni dopo il 17 luglio 2026, o se la utilizza ancora, esiste il rischio che sia stato effettuato con successo un attacco al tuo sito web.

Verificare la versione della tua installazione di WordPress

Il primo passo fondamentale è — se non l'hai ancora fatto — aggiornare WordPress all'ultima versione disponibile. Conoscere la versione del tuo WordPress ti è utile per sapere se la tua installazione è sicura o ancora vulnerabile. Puoi verificare la versione in due modi:

  • Verifica online su wp2shell.com: non richiede il login a WordPress.
  • Bacheca di WordPress: dopo aver effettuato l’accesso alla tua installazione di WordPress, trovi la versione attuale nella bacheca (dashboard).

Nota bene: anche se al momento disponi di una versione sicura di WordPress, ciò non significa necessariamente che sia stata aggiornata tempestivamente. Verifica quindi assolutamente se ci sono segni di un attacco wp2shell andato a buon fine.

Perché devi agire subito in merito a wp2shell?

I cybercriminali hanno automatizzato la ricerca di installazioni WordPress vulnerabili a wp2shell. Ciò significa che anche i siti web meno conosciuti potrebbero essere oggetto di attacchi riusciti.

Una volta ottenuto l’accesso alla tua installazione di WordPress, un hacker può avere accesso anche ad altre informazioni personali, come ad esempio password, token o credenziali API. Il problema, quindi, non si limita solo alla tua installazione di WordPress.

Misure immediate da adottare dopo un attacco wp2shell riuscito

IONOS raccomanda vivamente le seguenti misure:

  • Password di plugin e delle applicazioni memorizzate in WordPress: modifica le password di tutte le applicazioni collegate alla tua installazione di WordPress, ad esempio i negozi online. Ricollega il tuo WordPress alle applicazioni solo quando hai la certezza che la tua installazione sia priva di wp2shell.
  • Password del database di WordPress: modifica obbligatoriamente la password del tuo database MySQL o MariaDB nell' account IONOS e aggiornala successivamente nel file wp-config.php della tua installazione di WordPress.
  • Password dell'account IONOS: per modificare la password del tuo account IONOS, dopo aver effettuato l’accesso, fai clic su Menu > Il mio account > Accesso e sicurezza dell’account > Modifica password. A tal proposito, leggi anche l’articolo del Centro Assistenza “Creare una password sicura”
  • Password dell’e-mail di IONOS: l’articolo del Centro Assistenza “Modifica della password per l’account e-mail su IONOS” spiega come procedere.
  • Password riutilizzate: se hai usato la password di WordPress per altri servizi online, modificala immediatamente ovunque. Attenzione: l’uso ripetuto della stessa password comporta un rischio molto elevato e va assolutamente evitato.
  • Salt (chiavi di sicurezza): aggiorna le chiavi di sicurezza (salt) nel file wp-config.php. Questo disconnetterà all'istante qualsiasi utente collegato (inclusi eventuali hacker).

Controllo di sicurezza effettuato da IONOS e ripristino dal backup

IONOS ha effettuato controlli di sicurezza in seguito alla minaccia wp2shell e avvisa i clienti nel caso in cui vengano individuati indizi concreti di una compromissione di file e/o database.

Per assicurarsi che non vi siano più file compromessi sul tuo sito web, IONOS consiglia in un caso simile di ripristinare i tuoi dati allo stato precedente agli attacchi (sabato 18 luglio 2026)

Per farlo, segui queste indicazioni:

  • Accedi al tuo account IONOS.
  • Dai a IONOS il consenso per ripristinare un backup sicuro.
  • Dopo il completamento dell'aggiornamento, inserisci nel tuo WordPress le password modificate e gli altri dati di accesso come chiavi API e token, tenendo conto delle raccomandazioni contenute nel paragrafo precedente “Misure immediate dopo un attacco wp2shell riuscito".

Ecco cosa facciamo noi per te: ripristiniamo automaticamente il tuo ultimo backup sicuro, proteggiamo nuovamente il tuo WordPress contro la vulnerabilità e ti avvisiamo via e-mail non appena questa procedura è completata. In alternativa, puoi ripristinare autonomamente un backup esistente e proteggerlo dalla vulnerabilità.

Nota bene: facciamo del nostro meglio per salvare lo stato attuale del tuo database e ripristinarlo dopo il backup, ma non possiamo garantire il mantenimento completo di tutti i dati. Ti consigliamo quindi di esportare e salvare tu stesso i contenuti importanti prima di procedere.

Se hai bisogno di ulteriore supporto, contatta l'Assistenza Clienti.

Attenzione

A seconda della procedura utilizzata (ad es. se ripristini autonomamente un backup), WordPress potrebbe trovarsi in una versione non aggiornata e quindi vulnerabile. Aggiorna tassativamente WordPress all'ultima versione subito dopo il ripristino.

Verificare se il tuo sito web è stato vittima di un attacco wp2shell riuscito

L'Ufficio federale tedesco per la sicurezza informatica raccomanda di seguire i seguenti passaggi per la verifica di un sito web WordPress:

  • Ricerca richieste POST relative a /wp-json/batch/v1 (un numero elevato di richieste è particolarmente sospetto).
  • Ricerca le richieste contenenti ?rest_route=/batch/v1
  • Tentativi di accesso con wp2_* , w2s_*
  • Presenza di account amministratori associati agli indirizzi e-mail @wp2shell.invalid, @wp2shell.shellcode.lol o, in generale, account WordPress che non hai creato tu.
  • Modifiche e anomalie in oembed_cache e customize_changeset
  • File, plugin o account nuovi o modificati di recente (specialmente nuovi account amministratore).
  • Esecuzione di processi o comandi shell insoliti sul server web.
  • Connessioni in uscita insolite

Per gli utenti meno esperti di tecnologia, si consiglia di consultare la guida fornita dal BSI all’indirizzo research.eye.security/wp2shell-defenders-guide/ (in inglese), dove è disponibile anche un plugin WordPress per verificare la presenza di wp2shell.

Non gestisci personalmente la tua installazione WordPress?

Inoltra immediatamente il link di questo articolo al tuo webmaster, al dipartimento IT o all'agenzia web che gestisce il tuo sito, allegando anche le informazioni fornite dall'Agenzia per la cybersicurezza nazionale.

Dove posso trovare ulteriori informazioni?

Trovi informazioni dettagliate nell'avviso ufficiale dell'Agenzia per la cybersicurezza nazionale e nei link lì indicati.

Migliorare la sicurezza della tua installazione di WordPress

Un passo importante per migliorare la sicurezza della tua installazione di WordPress consiste nell’attivare la funzione di aggiornamento automatico integrata nella dashboard:

  • Pagina di amministrazione di WordPress: clicca su Bacheca > Aggiornamenti.
    (Per alcune versioni di WordPress su IONOS, l'opzione degli aggiornamenti si trova direttamente nella pagina del progetto. Questa si apre automaticamente quando si naviga nell'account IONOS: Menu > Progetti web > Riquadro con la versione di WordPress desiderata.
  • Plugin di WordPress: clicca su Bacheca > Plugin. Nella panoramica dei plugin, attiva gli aggiornamenti automatici nell’ultima colonna.

Contenuto