Ogni notte il controllo confronta le versioni installate di WordPress, plugin e temi con l’elenco pubblico delle vulnerabilità di Wordfence Intelligence (oltre 40.000 voci), scaricato al massimo una volta ogni 20 ore. Le versioni si leggono dai file, non dal database: quello che conta è il codice che gira davvero.
Come si legge
| Cosa fare | Vuol dire |
|---|---|
| aggiorna a x.y | La correzione esiste: aggiorna il plugin (sezione Plugin, Aggiorna) o, se è a pagamento, carica lo zip della versione indicata. |
| disattiva o sostituisci | Nessuna correzione: il plugin va tolto o sostituito con un’alternativa. |
Ogni vulnerabilità ha il link alla sua scheda su Wordfence, con la gravità e i dettagli. In fondo alla pagina ci sono le note di copyright richieste dalla licenza dell’elenco.
Plugin chiusi, fermi, disattivati
- Chiuso su wordpress.org per sicurezza (o chiuso da poco senza motivo pubblico): allarme, va sostituito.
- Chiuso per altri motivi o fermo da due anni: nota. Non è urgente, ma non riceverà correzioni.
- Disattivato: nota «da togliere». Un plugin disattivato non gira in WordPress, ma i suoi file restano raggiungibili dal web: si toglie con Elimina nella sezione Plugin.
Chiuso e fermo contano solo per i plugin la cui versione installata è davvero un rilascio di wordpress.org (con i checksum ufficiali): un plugin a pagamento che ha lo stesso nome di uno chiuso nel 2017 non viene confuso con quello.
Installare senza sorprese
La stessa verifica vale prima di installare: dalla ricerca su wordpress.org, un plugin o un tema la cui ultima versione ha vulnerabilità note senza correzione non si installa, né dalla dashboard né da shell.
Da shell
site-scan.py vuln esempio.it