Sito WordPress hackerato: cosa fare subito nel 2026
Le prime ore dopo un attacco al sito WordPress: prove, password, pulizia, Search Console e Garante. Poi i numeri Patchstack 2026 e come eviti che ricapiti.
In sintesi
- Se il tuo sito WordPress è stato hackerato, prima annoti che cosa vedi e fai una copia del sito così com'è, poi cambi tutte le password e chiudi le sessioni aperte, poi pulisci, e solo alla fine chiedi a Google di rivedere il sito (WordPress.org, FAQ My site was hacked).
- Nel 2025 Patchstack ha contato 11.334 vulnerabilità nuove nell'ecosistema WordPress, il 42% in più del 2024: il 91% stava nei plugin, il 9% nei temi, e solo 6 nel core (Patchstack, febbraio 2026).
- Il 46% di quelle vulnerabilità non aveva ancora una correzione dello sviluppatore quando è diventata pubblica, e le più sfruttate vengono attaccate in massa dopo 5 ore, in mediana ponderata (Patchstack, 2026).
- Se l'attacco ha toccato dati personali, per esempio i contatti dei moduli, il titolare notifica la violazione al Garante entro 72 ore da quando ne viene a conoscenza, salvo che il rischio per le persone sia improbabile (Garante privacy).
Quando un sito WordPress è stato hackerato, nelle prime ore devi fare quattro cose in quest'ordine: documentare, chiudere gli accessi, pulire, avvisare Google ed eventualmente il Garante. Questa guida segue la procedura della documentazione ufficiale di WordPress e di Google Search Console, con i numeri dell'ultimo rapporto Patchstack, pubblicato il 25 febbraio 2026. In fondo trovi la parte che le altre guide saltano: perché succede quasi sempre da un plugin, e quando conviene restare su WordPress o cambiare piattaforma.
Come capire se il sito WordPress è stato hackerato
Un sito è compromesso quando qualcuno ha cambiato file, pagine o utenti senza il tuo permesso. La documentazione di WordPress chiama questi segnali «indicatori di compromissione» e ne elenca alcuni chiari:
- Google, Bing o l'antivirus dei visitatori segnalano il sito come pericoloso.
- Il tuo hosting ha sospeso il sito.
- Trovi utenti amministratori che non hai creato tu.
- Aprendo il sito vedi pagine, link o reindirizzamenti che non hai messo.
Google descrive gli attacchi più comuni nel report Problemi di sicurezza di Search Console: codice dannoso, contenuti spam inseriti nelle pagine, pagine nuove create dall'attaccante, reindirizzamenti nascosti nel file .htaccess. Se hai Search Console, aprilo per primo: ti dice quali URL Google ha trovato infetti.
Che cosa fare se il sito WordPress è stato hackerato?
Lavora per fasi e non cancellare niente prima di averne una copia. Se pulisci subito, perdi le tracce che servono a capire da dove sono entrati, e senza quella risposta l'attacco si ripete.
| Quando | Che cosa fai | Perché |
|---|---|---|
| Subito | Scrivi che cosa vedi, a che ora, e che cosa hai cambiato di recente (un plugin nuovo, un tema, un widget) | È la base del rapporto sull'incidente, che serve a te, al tecnico e al Garante |
| Subito | Fai una copia di file e database così come sono, anche se infetti | Se la pulizia va male hai un punto da cui ripartire, e le prove restano |
| Prima ora | Chiedi all'hosting se l'attacco tocca anche altri siti sul server | Sugli hosting condivisi l'infezione può passare da un sito all'altro |
| Prima ora | Cambi le password di bacheca WordPress, FTP o SFTP, pannello dell'hosting e database, per tutti gli utenti | Una password rubata riapre la porta anche dopo la pulizia |
| Prima ora | Generi nuove chiavi segrete in wp-config.php |
Così chiudi le sessioni ancora aperte, anche quella dell'attaccante |
| Prima ora | Fai una scansione antivirus completa dei computer da cui accedi al sito | Spesso le password vengono rubate dal computer di chi gestisce il sito |
| Giorno 1 | Pulisci: reinstalli core, temi e plugin dalle fonti ufficiali, controlli .htaccess e database |
Vedi la sezione successiva |
| Giorno 1 | Aggiorni WordPress, temi e plugin e cambi di nuovo tutte le password | La prima volta potevano essere già intercettate |
| Dopo la pulizia | Chiedi la revisione in Search Console | Google toglie l'avviso solo dopo averti ricontrollato |
La documentazione di WordPress dà un consiglio che sembra banale e conta molto: mantieni la calma. Un'ora spesa a documentare ti fa risparmiare giorni di pulizie ripetute.
Pulire il sito WordPress senza reinstallare il malware
Reinstalla dai file originali tutto quello che puoi, e controlla a mano solo quello che è tuo. WordPress consiglia di sostituire le cartelle /wp-admin e /wp-includes con quelle della stessa versione scaricata da WordPress.org. Se hai accesso a WP-CLI, il comando wp core verify-checksums confronta i file del core con quelli ufficiali e ti dice quali sono stati modificati.
La parte difficile è wp-content, dove vivono temi, plugin e caricamenti. Qui reinstalli temi e plugin dalle fonti ufficiali e controlli i file che gli attaccanti modificano più spesso: .htaccess, index.php, header.php, footer.php e functions.php del tema. Nel database cerca utenti amministratori sconosciuti e pagine o articoli che non hai scritto.
Il ripristino da backup funziona solo se sai che il backup è precedente all'attacco. Se ripristini una copia già infetta, rimetti online il problema. Dopo il ripristino, aggiorna comunque il plugin o il tema da cui sono entrati: il backup non chiude la porta.
Per la scansione WordPress.org indica scanner che girano sul sito, come Wordfence, Sucuri e Quttera, e scanner esterni come VirusTotal e Sitecheck. Usali insieme: ognuno vede cose diverse.
Search Console e Garante: chi avvisare dopo l'attacco
Google va avvisato sempre, il Garante solo se l'attacco ha toccato dati personali con un rischio per le persone.
In Search Console, dopo la pulizia, apri il report Problemi di sicurezza, confermi di aver risolto e chiedi un esame. Google scrive che l'esame richiede da alcuni giorni a qualche settimana. Chiedilo solo quando il sito è pulito davvero: se Google trova ancora il problema, rifiuta la richiesta e riparti da capo.
Per il Garante la regola è il regolamento europeo sulla protezione dei dati. Il titolare del trattamento, cioè la tua azienda o il tuo cliente, notifica la violazione al Garante senza ingiustificato ritardo e, dove possibile, entro 72 ore da quando ne è venuto a conoscenza. Non serve notificare se è improbabile che la violazione crei un rischio per i diritti delle persone. Se invece il rischio è elevato, il titolare avvisa anche le persone coinvolte. Un sito con moduli di contatto, newsletter o area riservata conserva dati personali: in quel caso la valutazione va fatta subito, meglio con il proprio consulente privacy.
Se sei il web designer del cliente, ricordagli che il titolare è lui, e che le 72 ore corrono da quando lo sa.
Perché i siti WordPress vengono attaccati quasi sempre dai plugin
Il punto debole di WordPress sono i componenti aggiunti, molto più del core. Il rapporto Patchstack del 2026 conta 11.334 vulnerabilità nuove nel 2025. Il 91% stava nei plugin e il 9% nei temi; nel core ne sono state segnalate solo 6, tutte a bassa priorità.
Il problema è il tempo. Patchstack ha misurato che le vulnerabilità più sfruttate vengono attaccate dopo 5 ore, in mediana ponderata, e che il 46% delle vulnerabilità non aveva una correzione quando è stata resa pubblica. Lo stesso rapporto scrive che gli aggiornamenti regolari dei plugin restano una seconda linea di difesa, insufficiente da sola, perché gli attaccanti usano le falle nuove nel giro di ore. In un test su grandi hosting, le protezioni del server hanno bloccato solo il 26% degli attacchi alle vulnerabilità WordPress.
Un plugin di sicurezza aiuta, e un buon servizio di manutenzione anche. Nessuno dei due toglie la causa: ogni plugin installato è codice di un altro sviluppatore che deve essere aggiornato in tempo. Nel nostro articolo sulla manutenzione del sito web trovi chi fa che cosa e quanto costa.
Restare su WordPress o cambiare piattaforma dopo un attacco
Resta su WordPress se il sito dipende da un plugin che non trovi altrove; valuta di cambiare se il sito è una vetrina con pagine, moduli e blog. Dopo un attacco molti rifanno tutto sulla stessa base e aggiungono un plugin di sicurezza. È una scelta ragionevole quando WordPress serve davvero al progetto.
| Che cosa controlli | WordPress | DeepCMS Pro |
|---|---|---|
| Chi aggiorna il software | Tu o il tuo servizio di manutenzione, per core, tema e ogni plugin | Deep Marketing aggiorna il motore comune a tutti i siti |
| Plugin di terze parti | Uno per ogni funzione che il core non ha | Nessuno: moduli, banner cookie, registro dei consensi e statistiche sono nella piattaforma |
| Codice PHP sul server | Sì | No |
| Costo mensile dello stack | 181 € al mese fra hosting, manutenzione, banner, moduli e statistiche, nella nostra stima con fonti del 28/10/2026 | Da 49 € al mese per sito, IVA esclusa |
| Quando resta la scelta giusta | Il progetto dipende da un'estensione specifica | Sito aziendale, vetrina, blog, sito multilingua |
DeepCMS non promette che un sito non possa essere attaccato. Toglie le porte da cui passa la maggior parte degli attacchi a WordPress: i plugin da aggiornare e il PHP da mantenere. Le password restano tue, e vanno custodite come su qualsiasi piattaforma. Se vuoi capire che cosa cambia, leggi la pagina DeepCMS e WordPress, la scheda sulla tecnologia di DeepCMS e la guida per passare da WordPress a DeepCMS.
Domande frequenti
Posso ripulire il sito WordPress ripristinando un backup?
Sì, se il backup è precedente all'attacco. Prima del ripristino fai una copia dello stato infetto, poi ripristina, cambia tutte le password e aggiorna il plugin o il tema da cui sono entrati.
Quanto tempo ci mette Google a togliere l'avviso di sito pericoloso?
Dopo la richiesta di esame in Search Console, Google indica da alcuni giorni a qualche settimana. Chiedi l'esame solo a pulizia finita.
Devo avvisare il Garante se hanno hackerato il mio sito?
Sì, se l'attacco ha toccato dati personali e non è improbabile un rischio per le persone. La notifica va fatta dal titolare entro 72 ore da quando sa della violazione.
Un plugin di sicurezza basta a proteggere WordPress?
Aiuta a vedere e bloccare molti attacchi. Patchstack però ha misurato che le falle più sfruttate vengono attaccate in poche ore e che quasi la metà esce senza correzione, quindi servono anche pochi plugin, aggiornamenti rapidi e backup controllati.
Posso portare il mio sito WordPress su DeepCMS dopo un attacco?
Sì, dopo averlo pulito. L'esportazione di WordPress non ricrea il sito da sola: trasferisci i contenuti, ricostruisci le pagine e imposti i redirect, come spiega la guida per passare da WordPress a DeepCMS.
Fonti
- Patchstack, State of WordPress Security in 2026, pubblicato il 25/2/2026, consultato il 3/11/2026.
- WordPress.org, FAQ My site was hacked, consultata il 3/11/2026.
- WordPress Developer Resources, Hardening WordPress, consultata il 3/11/2026.
- WP-CLI, wp core verify-checksums, consultata il 3/11/2026.
- Google Search Console, Report Problemi di sicurezza, consultato il 3/11/2026.
- Garante per la protezione dei dati personali, Violazioni di dati personali (data breach), consultata il 3/11/2026.
- DeepCMS, Prezzi DeepCMS Pro, confronto con lo stack WordPress con prezzi letti il 28/10/2026.
PS: l'immagine di copertina e la figura nel testo sono generate con l'intelligenza artificiale.
