Il sito aziendale è stato hackerato?
Se il sito presenta comportamenti anomali, è stato compromesso o hai ricevuto una segnalazione di sicurezza,
possiamo:
– intervenire per analizzare il problema,
– ripulire il sito e
– metterlo nuovamente in sicurezza.
Perché un sito web viene hackerato?
Un attacco informatico può interessare praticamente qualsiasi sito web, indipendentemente dalle dimensioni dell’azienda o dal settore in cui opera.
Ci sono però situazioni che aumentano sensibilmente il rischio.
Una delle più comuni riguarda i siti abbandonati da anni, che continuano a utilizzare programmi, implementazioni e sistemi non più aggiornati. In questi casi possono essere presenti vulnerabilità conosciute da tempo e per le quali esiste già una soluzione, ma che non è mai stata applicata.
Esiste poi una situazione completamente diversa: la scoperta di una nuova vulnerabilità.
Una falla di sicurezza può essere individuata all’interno di un programma utilizzato da migliaia o milioni di siti e, fino a quel momento, essere sconosciuta anche a chi sviluppa e mantiene il sistema. In questi casi nessuno può applicare in anticipo una correzione che ancora non esiste.
Dal momento in cui la vulnerabilità viene scoperta e viene pubblicato un aggiornamento, però, inizia una vera e propria corsa contro il tempo: da una parte chi sviluppa e gestisce i siti deve applicare la correzione, dall’altra sistemi automatizzati possono iniziare rapidamente a cercare online le installazioni ancora vulnerabili.
È proprio quello che è successo nell’estate del 2026 con WP2Shell, una vulnerabilità che ha interessato direttamente WordPress e che ha dato origine a una campagna di attacchi su scala mondiale.
Assistenza per un sito web hackerato
Il caso WordPress WP2Shell del 2026
Tra luglio e agosto 2026 molti siti WordPress in tutto il mondo sono stati interessati da una campagna di attacchi informatici legata alla vulnerabilità WP2Shell.
Anche in MAGNET (studio professionale di consulenza marketing e comunicazione) abbiamo gestito alcuni siti aziendali compromessi, intervenendo con analisi, pulizia e successiva messa in sicurezza.
È un caso particolarmente interessante perché permette di spiegare cosa significa realmente fornire assistenza a un sito web hackerato e, soprattutto, perché vedere nuovamente il sito online non significa necessariamente aver risolto il problema.
Nel caso di WP2Shell non si è trattato di attacchi rivolti esclusivamente a determinate aziende. I dati raccolti dalle società specializzate in sicurezza informatica mostrano un’attività automatizzata su larga scala, iniziata rapidamente dopo la scoperta della vulnerabilità e proseguita anche durante il mese di agosto.
WP2Shell: cosa è successo ai siti WordPress nel luglio 2026?
Il 17 luglio 2026 sono stati pubblicati degli aggiornamenti di sicurezza di WordPress per correggere due importanti vulnerabilità identificate come CVE-2026-60137 e CVE-2026-63030.
CVE (Common Vulnerabilities and Exposures, cioè il sistema internazionale utilizzato per identificare e catalogare le vulnerabilità informatiche conosciute) è il codice attraverso il quale vengono identificati pubblicamente questi problemi.
La combinazione delle due vulnerabilità è diventata conosciuta come WP2Shell.
Il problema era particolarmente importante perché riguardava il core (il nucleo principale del programma) di WordPress.
Questo significa che, a differenza di molti problemi di sicurezza che interessano un determinato plugin (componente aggiuntivo) o un tema grafico, in questo caso la vulnerabilità era presente direttamente in alcune versioni di WordPress.
Perché WP2Shell ha messo a rischio così tanti siti web?
Per comprenderlo non è necessario entrare molto nella parte tecnica.
Normalmente, per accedere all’amministrazione di un sito WordPress servono delle credenziali: nome utente e password.
WP2Shell poteva permettere di aggirare questo passaggio.
Le due vulnerabilità utilizzate insieme potevano consentire quella che tecnicamente viene definita Remote Code Execution (esecuzione di codice da remoto).
In termini più semplici, una persona esterna poteva riuscire a impartire delle istruzioni al sito attraverso Internet senza essere preventivamente autorizzata.
Non era quindi necessariamente necessario conoscere la password dell’amministratore; non era necessario che qualcuno dell’azienda aprisse un collegamento ricevuto tramite email.
E non era necessariamente presente una implementazione vulnerabile.
Il problema riguardava direttamente determinate versioni di WordPress.
Un attacco hacker a WordPress su scala mondiale
Uno degli aspetti più importanti di WP2Shell riguarda la velocità con cui la vulnerabilità ha iniziato a essere sfruttata.
Prima dei dati tecnici; WP2Shell ha generato una campagna di attacchi su scala internazionale iniziata poche ore dopo la pubblicazione della vulnerabilità e proseguita per diverse settimane.
Le società specializzate in sicurezza informatica hanno registrato milioni di tentativi e segnali riconducibili allo sfruttamento della vulnerabilità.
I numeri servono a comprendere la dimensione del fenomeno: 3,1M di attacchi (monitorati).
Se non ti interessano gli aspetti più tecnici, il punto fondamentale è questo: non si è trattato di qualche caso isolato, ma di un fenomeno mondiale che ha interessato i siti internet.
3,1 M di attacchi vuol dire che si tratta di tentativi e attività rilevate dai sistemi di sicurezza. Da questi dati non è possibile determinare quanti abbiano effettivamente portato alla compromissione di un sito.
La dimensione del fenomeno permette però di comprendere un aspetto fondamentale: WP2Shell non è stato un attacco rivolto a qualche singola azienda, ma una vulnerabilità sfruttata su larga scala.
Perché qualcuno dovrebbe hackerare proprio il sito di una PMI?
È una delle domande che ci vengono poste più frequentemente quando forniamo assistenza per un sito web hackerato.
La risposta è che, in molti casi, nessuno ha scelto specificatamente quell’azienda: molti attacchi informatici vengono automatizzati; in quanto esistono sistemi che analizzano continuamente un numero elevatissimo di siti alla ricerca di una determinata vulnerabilità.
Quando viene individuato un sito potenzialmente vulnerabile, viene effettuato automaticamente un tentativo di accesso: il settore dell’azienda, le sue dimensioni o la notorietà del marchio possono quindi non avere alcuna importanza.
Il sito viene attaccato semplicemente perché è raggiungibile attraverso Internet e presenta, in quel momento, una vulnerabilità sfruttabile; e chi sta attacando lo fa per i più disparati motivi (fare attacchi ad altri siti partendo da quello attaccato, per interessi economici, raccolta di dati per poi rivenderli nel dark web, ma anche per puro esercizio per prepararsi ad obiettivi più grandi).
È un concetto importante soprattutto per le PMI: non è necessario essere una multinazionale o gestire milioni di dati per diventare un possibile obiettivo.
Un sito WordPress hackerato può continuare a funzionare normalmente?
Sì.
Ed è probabilmente uno degli aspetti meno intuitivi di un attacco informatico.
Quando immaginiamo un sito web hackerato, tendiamo a pensare a una homepage sostituita, pagine non raggiungibili o messaggi chiaramente visibili.
Non è necessariamente così.
Un sito compromesso può continuare apparentemente a funzionare, le pagine rimangono online, il modulo dei contatti continua a inviare richieste, i prodotti di un ecommerce sono ancora disponibili.
Ma questo non permette di escludere che all’interno dell’installazione siano presenti file modificati, codice non autorizzato, nuovi utenti o sistemi utilizzati per mantenere l’accesso.
Per chi attacca, infatti, rendere immediatamente evidente la propria presenza può essere controproducente.
Un sito che funziona e un sito sicuro non sono necessariamente la stessa cosa.
Cosa può succedere a un sito web hackerato?
Una volta ottenuto l’accesso, possono essere effettuate diverse operazioni.
Possono essere modificati file già presenti, creati nuovi amministratori, inseriti programmi malevoli oppure installate delle web shell (piccoli programmi nascosti che permettono di continuare a controllare il sito da remoto).
Un sito compromesso possa essere utilizzato per reindirizzare le persone verso pagine fraudolente, mostrare false pagine di accesso, distribuire malware (programmi creati con finalità dannose) o inserire codice non autorizzato; possono esserci inoltre conseguenze sulla visibilità del sito nei motori di ricerca e sulla reputazione del dominio.
Il sito di un’azienda può quindi essere utilizzato per attività che non hanno nulla a che vedere con l’impresa proprietaria.
Assistenza a un sito web hackerato: cosa significa realmente intervenire
Quando un sito viene compromesso, l’obiettivo non dovrebbe essere solamente quello di rimetterlo online.
Occorre comprendere cosa è successo e verificare cosa è stato modificato durante la compromissione.
È il motivo per cui l’assistenza a un sito web hackerato richiede diverse attività che passano dal sito, all’hosting, al database; ma anche ai sistemi informatici utilizzati in azienda (nei casi più gravi).
Non esiste quindi un semplice pulsante “rimuovi hacker”.
Ogni compromissione deve essere analizzata in base a ciò che è realmente accaduto sul sito.
Quello che abbiamo visto sui siti WordPress seguiti da MAGNET
Tra luglio e agosto 2026 abbiamo riscontrato compromissioni anche su alcuni siti WordPress di aziende che seguiamo in MAGNET.
Senza entrare in dettagli tecnici poco utili per chi gestisce un’azienda, in alcuni casi abbiamo individuato file che non avrebbero dovuto essere presenti oppure codice estraneo inserito all’interno di file esistenti.
Possiamo immaginarli come delle porte secondarie lasciate all’interno del sito.
La vulnerabilità WP2Shell aveva permesso l’ingresso, ma una volta ottenuto l’accesso potevano essere inseriti altri strumenti attraverso i quali continuare a interagire con il sito.
Per questo motivo sui siti interessati non ci siamo limitati ad aggiornare il codice: abbiamo analizzato le installazioni, individuato gli elementi anomali, effettuato la pulizia e successivamente messo nuovamente in sicurezza i siti potenziando le barriere.
Un sito WordPress hackerato non si risolve solamente aggiornando il codice.
Questo è uno dei concetti più importanti da comprendere: c’è una porta con una serratura difettosa; qualcuno scopre il problema ed entra e successivamente la serratura viene sostituita.
Da quel momento quella specifica porta è nuovamente protetta.
Ma sostituire la serratura non permette di sapere automaticamente cosa sia successo prima della sostituzione.
Chi è entrato potrebbe avere lasciato una seconda chiave oppure aver creato un altro punto di accesso: con un sito web può succedere qualcosa di simile.
L’aggiornamento del codice corregge la vulnerabilità e impedisce che quella stessa modalità di accesso continui a essere utilizzabile.
Se però il sito è già stato hackerato, l’aggiornamento non elimina automaticamente quello che è stato inserito precedentemente: per questo motivo l’aggiornamento e la pulizia di un sito compromesso sono due attività differenti.
Gli aggiornamenti rimangono comunque una delle componenti fondamentali della sicurezza di WordPress e di molti altri siti web realizzati con CMS. Ne ho parlato più approfonditamente anche in “Perché aggiornare WordPress?” scritto nel lontano 2019 :), spiegando perché mantenere aggiornato il sito non significa solamente avere nuove funzioni, ma ridurre anche il tempo durante il quale una vulnerabilità conosciuta può essere sfruttata.
L’assistenza di un sito hackerato non termina con la pulizia
C’è infine un altro aspetto che ritengo importante.
Dopo la pulizia e check non dovrebbe esserci semplicemente la riconsegna del sito e la chiusura dell’intervento: è necessario verificare cosa abbia permesso la compromissione e valutare quali sistemi possano ridurre il rischio che una situazione analoga si ripeta.
Questo può comprendere aggiornamenti, sistemi di sicurezza, gestione delle credenziali, backup (copie di sicurezza), monitoraggio e controllo dell’ambiente hosting (il servizio nel quale è ospitato il sito).
Ed è anche il motivo per cui un sito aziendale dovrebbe essere seguito nel tempo.
Il problema non è solamente WordPress
Dopo episodi come WP2Shell può essere semplice arrivare alla conclusione che WordPress non sia sicuro.
La questione è più complessa: qualunque programma sufficientemente articolato può presentare delle vulnerabilità.
La differenza viene fatta dalla capacità di individuarle, correggerle e distribuire rapidamente gli aggiornamenti.
Ma anche dalla velocità con cui questi aggiornamenti vengono applicati sui singoli siti.
Un sito aziendale non dovrebbe quindi essere considerato un progetto realizzato una volta e destinato a rimanere invariato negli anni.
Tutto l’ecosistema che ruota intorno ai siti web continua ad evolversi; con loro evolvono anche le tecniche utilizzate per individuare e sfruttare le vulnerabilità.
La manutenzione diventa quindi parte dell’investimento necessario per mantenere efficiente e sicuro nel tempo uno strumento digitale dell’azienda.
Il sito web è parte dell’infrastruttura aziendale
Per molte aziende il sito viene ancora considerato principalmente uno strumento di comunicazione; in realtà può contenere moduli attraverso i quali arrivano richieste commerciali, informazioni dei clienti, collegamenti con sistemi esterni, strumenti di analitica, account, ecommerce e integrazioni con altre piattaforme.
In alcuni casi genera direttamente una parte importante delle vendite o dei contatti commerciali.
La sicurezza del sito non riguarda quindi solamente “il sito Internet”.
Riguarda uno degli strumenti attraverso cui l’azienda comunica, acquisisce contatti e sviluppa la propria attività commerciale.
WP2Shell è stato un caso particolarmente evidente perché ha coinvolto WordPress su scala internazionale.
Ma il principio rimane valido indipendentemente dalla singola vulnerabilità.
Assistenza sito web hackerato: analisi, pulizia e messa in sicurezza
Se un sito aziendale presenta comportamenti anomali, è stato segnalato come compromesso oppure esiste il dubbio che possa essere stato interessato da una vulnerabilità, MAGNET può effettuare un’analisi dell’installazione per verificarne lo stato di sicurezza.
L’intervento può comprendere l’individuazione della compromissione, la pulizia degli elementi malevoli, il ripristino del corretto funzionamento e la successiva messa in sicurezza.
Possiamo inoltre verificare lo stato di un sito WordPress che apparentemente funziona correttamente ma che potrebbe essere rimasto esposto durante una vulnerabilità importante come WP2Shell.
Verifica la sicurezza del sito web della tua azienda.
Contattami per una consulenza professionale certificata
Compila il form (cosi da prendere appuntamento telefonico) o chiamarmi al 346 497 34 80 (e lascia un messaggio in segreteria)