Nuova vulnerabilita’ critica nel plugin UpdraftPlus, il piu’ diffuso sistema di backup per WordPress. Il bug, segnalato da Search Engine Journal, colpisce oltre 3 milioni di siti e permette ad attaccanti non autenticati di eseguire comandi come amministratore. La conseguenza piu’ grave: l’upload e l’attivazione di plugin malevoli, con remote code execution come outcome possibile.
Cosa permette l’exploit
Il vettore d’attacco sfrutta una falla nella gestione delle richieste backup/restore del plugin. Un attaccante senza credenziali puo’ triggerare l’esecuzione di comandi che normalmente sono riservati all’amministratore: lettura del database, scrittura di file, attivazione di plugin uploadati. Lo scenario peggiore e’ un takeover totale del sito tramite upload di un plugin contenente shell PHP.
Chi e’ a rischio
- UpdraftPlus e’ installato su oltre 3 milioni di siti WordPress secondo le statistiche ufficiali.
- Tutte le versioni precedenti la patch sono vulnerabili. Verifica nel pannello “Plugin” se “UpdraftPlus: WP Backup & Migration Plugin” e’ attivo e qual e’ la versione.
- I siti che usano la versione Premium ricevono auto-update piu’ frequenti, ma vanno comunque verificati.
- Gli utenti della versione free aggiornano solo manualmente, quindi sono il bacino piu’ esposto.
Patch e mitigation
- Aggiorna oggi stesso alla versione patchata. Vai in WP Admin > Plugin > Aggiornamenti disponibili.
- Verifica i backup recenti: controlla che gli ultimi backup giornalieri siano integri e scaricabili. Una compromissione potrebbe averli corrotti.
- Conserva una copia offline dell’ultimo backup pulito (S3 bucket separato, Drive, server FTP esterno).
- Disabilita temporaneamente la funzione “Restore” del plugin nei prossimi 7 giorni: e’ la via piu’ usata per innescare l’attacco.
- Monitora i log accesso PHP alla cartella /wp-content/plugins/updraftplus/ per richieste anomale.
Cosa fare se sospetti compromissione
Se trovi plugin sconosciuti attivi, file PHP in cartelle dove non dovrebbero esserci o utenti admin che non ricordi di aver creato, ferma tutto. Metti il sito in maintenance mode tramite .htaccess, scarica un backup completo (anche se sospetto di essere compromesso, serve per analisi forense), ripristina l’ultimo backup pulito su un dominio temporaneo per verificarne l’integrita’, poi pulisci il sito originale o ricostruiscilo dal backup pulito.
In pratica per la tua agenzia o PMI
- Imposta un alert automatico su Wordfence Intelligence per CVE su plugin con installazioni superiori al milione.
- Per i clienti in maintenance contract, includi nel SLA l’aggiornamento entro 24h delle patch critical/high.
- Tieni un registro delle versioni plugin per ogni sito gestito: in caso di CVE sai in minuti quanti siti devi toccare.
- Considera UpdraftPlus + servizio backup esterno (S3, BackBlaze): la ridondanza paga sempre.
Una vulnerabilita’ su un plugin con oltre 3 milioni di installazioni e’ un evento sistemico. Le agenzie che reagiscono entro le prime 24 ore proteggono i clienti e costruiscono la propria reputazione di affidabilita’.
Fonte: Search Engine Journal – UpdraftPlus vulnerability
Anatomia dell’exploit: come funziona davvero
Il flusso d’attacco su UpdraftPlus segue uno schema riconoscibile. L’attaccante invia una richiesta HTTP forgiata all’endpoint AJAX del plugin. La richiesta sfrutta una mancata validazione del parametro action o del nonce. Il plugin esegue il comando come se provenisse dall’amministratore: lettura tabelle, scrittura file, attivazione plugin caricati nella stessa sessione. Da qui all’upload di una shell PHP il salto e’ breve. La vera gravita’ sta nel fatto che non serve essere autenticati: chiunque sa l’URL del sito puo’ tentare l’exploit.
Il pattern ricorre in plugin con privilegi elevati che gestiscono backup, migrazione o restore. Tutti questi plugin hanno bisogno di accesso completo al filesystem e al database. Una vulnerabilita’ in queste funzioni e’ sempre critica perche’ rappresenta la chiave del castello.
Costo di un takeover per una PMI italiana
Un takeover WordPress di un sito PMI italiano costa tra 3.000 e 25.000 EUR di danno diretto, senza contare la reputation. Le voci tipiche includono: downtime durante l’incident response (perdita fatturato per e-commerce), costo del consulente di sicurezza (1.500-5.000 EUR), eventuali multe GDPR se sono stati esposti dati personali (fino al 4% del fatturato), recupero della reputation. La maggior parte delle PMI sottovaluta il costo di un incident finche’ non lo subisce.
Le agency che gestiscono manutenzione hanno la responsabilita’ di tenere aggiornati i plugin critici come UpdraftPlus. Il SLA standard del 2026 dovrebbe prevedere patch di vulnerabilita’ critical entro 24 ore dalla pubblicazione del CVE. Sotto questo livello, il cliente non e’ tutelato.
Alternative a UpdraftPlus se serve switchare
Se la patch tarda o se vuoi diversificare il rischio, le alternative per backup WordPress sono solide. BlogVault Backup offre backup giornalieri automatici, restore con un click, integrazione con Cloudflare. WP Vivid e’ open source con buon supporto. Solid Backups (ex BackupBuddy) e’ affidabile da anni. Per i clienti enterprise, Jetpack Backup di Automattic offre backup real-time.
La regola pratica per le agency: non dipendere mai da un unico plugin per i backup di un sito mission-critical. Tenere una ridondanza con backup esterno su S3 o BackBlaze e’ la differenza tra “abbiamo un problema” e “abbiamo perso il sito”.
Cosa dire ai clienti dopo l’incident
Se uno dei tuoi clienti usa UpdraftPlus, la comunicazione tempestiva e’ essenziale. Email da mandare entro 4 ore dalla diffusione della notizia: spiegazione concisa del problema, conferma che hai gia’ verificato/patchato il loro sito, lista delle attivita’ fatte per proteggerli, invito al monitoraggio congiunto nei prossimi 7 giorni. Questa comunicazione trasforma un evento negativo in una conferma del valore del servizio di manutenzione.
