All’inizio di luglio 2026 i ricercatori di sicurezza hanno documentato una campagna sofisticata di backdoor che colpisce la directory /wp-content/mu-plugins/ dei siti WordPress. Le must-use plugin, note come MU-plugins, sono un meccanismo nativo del CMS pensato per attivare codice a livello di installazione: a differenza dei plugin standard, non richiedono attivazione, non compaiono nella lista dei plugin del pannello di amministrazione e vengono eseguite in modo automatico ad ogni caricamento di pagina. Sono esattamente le caratteristiche che le rendono un obiettivo prezioso per gli attaccanti, che le usano per installare drop-in malevoli invisibili alla maggior parte dei webmaster. La campagna sfrutta accessi ottenuti tramite altre vulnerabilita’ — spesso plugin non aggiornati, credenziali admin deboli o file di configurazione esposti — per depositare in mu-plugins uno o piu’ file PHP che funzionano da backdoor persistenti. Anche dopo la rimozione dell’exploit iniziale, il backdoor continua a garantire accesso amministrativo agli attaccanti, complicando incident response e recovery.
Il punto critico e’ proprio la visibilita’: nell’esperienza quotidiana di chi gestisce un sito, si controllano gli aggiornamenti dei plugin, gli utenti amministratori, i log di sicurezza di plugin come Wordfence o Solid Security. Le must-use plugin non compaiono in questi controlli, salvo scorrere la scheda “Must-Use” nell’elenco plugin del pannello WordPress, sezione che pochi visitano nella loro routine. Un panificio di Torino con eCommerce WooCommerce, un blog di ricette di Bologna e uno studio legale di Verona sono tutti target realistici, non perche’ abbiano attirato attenzione specifica ma perche’ fanno parte del rumore di fondo che gli attaccanti scandagliano in modo massivo con bot. Il valore di un sito WordPress compromesso oggi non e’ tanto nel suo contenuto: e’ nella possibilita’ di ospitare pagine di phishing, di iniettare redirect verso sistemi di scam, di distribuire malware o di far parte di reti di link SEO manipolatorie che finiscono per far penalizzare il sito dai motori di ricerca.
Il contesto piu’ ampio, come emerge dai report piu’ recenti di Patchstack e Wordfence, e’ che oltre la meta’ degli sviluppatori di plugin non rilascia patch prima della disclosure pubblica delle vulnerabilita’, mentre emergono in media 333 nuove vulnerabilita’ a settimana nell’ecosistema WordPress. La combinazione tra un ecosistema di plugin molto esteso e la scarsa igiene di aggiornamento della base installata rende la campagna sulle MU-plugins particolarmente pericolosa. Un sito che integra dieci plugin non aggiornati da mesi ha probabilita’ elevate che almeno uno diventi un punto di ingresso, e da li’ il backdoor MU-plugins fa il resto. Per chi lavora in agenzia digital, la situazione impone una revisione delle pratiche: audit periodici del filesystem, monitoraggio dei file nella directory mu-plugins, alerting su ogni nuovo file PHP che appare senza deploy autorizzato, e una policy chiara con il cliente su come vengono gestiti gli aggiornamenti di sicurezza mensili. Non e’ piu’ possibile presentarsi come manutentori senza avere questi flussi automatizzati.
Sul piano operativo, la difesa efficace passa da tre livelli. Il primo e’ preventivo: hardening del sito con permessi corretti su wp-content, disabilitazione dell’editor file del pannello, autenticazione a due fattori sull’admin, aggiornamento sistematico di core, plugin e temi. Il secondo e’ di rilevamento: scanner malware pianificati settimanalmente, monitoraggio delle modifiche del filesystem tramite strumenti come Wordfence Central, Patchstack o soluzioni server-side, e verifica manuale periodica della scheda Plugin > Must-Use. Il terzo e’ di risposta: procedura scritta di incident response che parte dal backup, prosegue con la messa in modalita’ manutenzione, l’ispezione dei log del server, la rimozione dei file MU-plugins non autorizzati e la rotazione delle credenziali admin e delle API key. Un’agenzia con dieci-venti siti in gestione dovrebbe potersi permettere di eseguire questa procedura entro poche ore dal primo alert, con una checklist definita in anticipo e non improvvisata sotto stress.
Cosa significa per la tua agenzia o PMI
- Controlla oggi la sezione Plugin > Must-Use di ogni sito in gestione: se compaiono file che non hai deployato o che non riconosci, isola il sito, esegui backup del filesystem e del database prima di qualsiasi rimozione, poi apri incident.
- Attiva monitoraggio del filesystem su
wp-content/mu-plugins: usa Wordfence, Patchstack o uno script server-side che ti mandi alert immediato per ogni nuovo file PHP creato in quella directory, con notifica su email o Slack di agenzia. - Standardizza aggiornamenti core, plugin e temi con calendario mensile: definisci una finestra fissa (es. primo lunedi’ del mese) e una procedura scritta con backup pre-aggiornamento, in modo che il cliente veda l’intervento come parte del contratto e non come extra.
- Introduci 2FA obbligatoria per tutti gli utenti admin: la maggior parte delle campagne di questo tipo si appoggia a credenziali deboli o riutilizzate. 2FA elimina la maggioranza dei tentativi automatici e alza sensibilmente il costo dell’attacco mirato.
- Prepara una procedura di incident response scritta: massimo due pagine, con passi ordinati (isolamento, backup, ispezione, pulizia, rotazione credenziali, comunicazione al cliente), utile a rispondere a un attacco reale senza improvvisare.
Fonte: WebHostMost — WordPress Plugin Security 2026: analisi campagna MU-Plugins.
