Un plugin WordPress da 20.000 siti è stato manomesso alla fonte: se ce l'hai, il sito va considerato già violato

Se il sito della tua azienda è fatto in WordPress — cioè, statisticamente, se hai un sito — questa è la notizia da leggere prima di aprire la posta.

Nella versione 10.8.7 del plugin Advanced Responsive Video Embedder, quello che serve a incorporare i video di YouTube o Vimeo nelle pagine, qualcuno ha inserito di proposito una porta di servizio. Non è un errore di programmazione: è codice scritto per entrare. Le installazioni attive sono circa 20.000.

Cosa fa quel codice

Il meccanismo è semplice e per questo efficace. Il codice malevolo, nascosto in un file dal nome rassicurante — fn-update-check.php — resta in ascolto su due parametri, _wplogin e _wpm. Chi invia il token giusto, già scritto dentro il sorgente del plugin, si ritrova aperta una sessione da amministratore del sito.

Nessuna password. Nessun tentativo di indovinare le credenziali. Una singola richiesta.

Il punteggio assegnato è 9,8 su 10 (identificativo CVE-2026-18072), che è più o meno il massimo che si possa attribuire a un problema di sicurezza.

C’è un dettaglio in più, ed è quello che qualifica l’operazione: a ogni utilizzo, il codice spedisce fuori l’indirizzo del sito e il nome dell’amministratore scelto, verso un server di comando e controllo che risponde al dominio fontswp.com. Chi ha piazzato la backdoor si sta costruendo un elenco.

Perché un attacco alla catena di fornitura è diverso da una falla

Una vulnerabilità è un errore che qualcuno scopre e sfrutta: il produttore corregge e tu aggiorni. Un attacco alla catena di fornitura è codice malevolo consegnato attraverso il canale ufficiale degli aggiornamenti, cioè proprio il meccanismo su cui si basa la fiducia. Chi aggiorna diligentemente non è più protetto: è il primo a essere colpito.

Il punto che cambia tutto: non esiste una versione corretta

Qui l’abitudine gioca contro. Davanti a una notizia del genere il riflesso è aprire il pannello di WordPress e cliccare «aggiorna».

Non funziona. Il team di WordPress.org ha chiuso il plugin ai download il 28 luglio: è stato tolto dal repository. Non c’è una 10.8.8 sistemata che ti aspetta. L’unica mossa possibile è rimuoverlo.

E c’è una seconda cosa che non arriva da sola: nel pannello di amministrazione non vedrai nessun allarme rosso. WordPress ti avvisa quando c’è un aggiornamento disponibile, non quando un plugin che hai installato si è rivelato ostile. Se aspetti che te lo dica il sito, aspetti a vuoto.

Cosa fare, in ordine

1. Guarda l’elenco dei plugin installati e cerca Advanced Responsive Video Embedder. Se non c’è, hai finito: questa notizia non ti riguarda.
2. Se c’è, rimuovilo — disinstallalo, non limitarti a disattivarlo.
3. Controlla la lista degli utenti amministratori. Cerca account che non ricordi di aver creato, o creati in date che non ti dicono nulla. È il segno più diretto che qualcuno è passato.
4. Chiudi tutte le sessioni aperte e cambia le password di tutti gli utenti con privilegi.
5. Rigenera le chiavi di sicurezza in wp-config.php. Sono quelle che tengono in piedi le sessioni: finché restano le vecchie, una sessione rubata resta valida anche dopo il cambio password.
6. Fai bloccare le connessioni in uscita verso fontswp.com da chi ti gestisce l’hosting.
7. Fai cercare altri file sospetti nel sito e nel database: chi entra da una porta di servizio, di solito, prima di uscire ne lascia una seconda.

La domanda scomoda: chi controlla i plugin del tuo sito?

Vale la pena fermarsi un secondo su questo, perché è la parte che si ripeterà.

Nella maggior parte delle piccole imprese italiane il sito è stato costruito anni fa da un’agenzia o da un conoscente, e da allora nessuno guarda più cosa ci sia sopra. I plugin installati sono otto, dodici, venti. Alcuni servono ancora, altri erano per una funzione abbandonata nel 2019. Nessuno tiene l’elenco, e nessuno ha in mano la risposta alla domanda: se domani uno di questi viene manomesso, chi se ne accorge?

Il caso di questi giorni ha avuto un finale relativamente buono — il codice è stato individuato in meno di due ore dall’inserimento, il plugin è stato rimosso lo stesso giorno. Non è garantito che la prossima volta vada così.

In breve

Il plugin Advanced Responsive Video Embedder nella versione 10.8.7 conteneva una backdoor inserita deliberatamente (CVE-2026-18072, punteggio 9,8): una sola richiesta HTTP con il token giusto apre una sessione da amministratore, e i dati del sito finiscono a un server esterno. Le installazioni attive erano circa 20.000.

WordPress.org ha chiuso il plugin il 28 luglio: non esiste una versione corretta, va rimosso. E poiché il codice è circolato, il modo corretto di trattare la cosa è presumere che qualcuno sia entrato: utenti amministratori da verificare, password da cambiare, chiavi di wp-config.php da rigenerare. Chi usa Wordfence gratuito resta senza copertura firewall fino al 27 agosto.