Sicurezza WordPress oltre i plugin cosa insegna la vulnerabilità libheif
Una vulnerabilità in libheif mostra che la sicurezza WordPress dipende anche dal server. Come verificare upload HEIC, patch e mitigazioni.
Un contratto di manutenzione WordPress comprende cinque voci, cioè aggiornamenti, backup con ripristino, monitoraggio, sicurezza e tempi di risposta dell’assistenza. Chi confronta due canoni deve verificare che ogni voce indichi una frequenza e un responsabile, perché un elenco generico non dice cosa si compra.
La maggior parte delle vulnerabilità rilevate nell’ecosistema WordPress riguarda plugin e temi. Secondo il rapporto Patchstack sulla sicurezza di WordPress, nel 2025 l’ecosistema ha registrato 11.334 nuove vulnerabilità, il 42% in più del 2024. Il 91% riguarda i plugin, il 9% i temi e solo 6 il core di WordPress.
Il tempo pesa quanto il numero. Lo stesso rapporto indica che circa metà delle vulnerabilità ad alto impatto viene sfruttata entro 24 ore dalla pubblicazione, e che il 46% delle vulnerabilità era senza correzione al momento della divulgazione. Un contratto con un solo passaggio al mese lascia il sito esposto per giorni o per settimane.
Ne segue che il contratto deve dire ogni quanto si controllano gli aggiornamenti di sicurezza e chi decide cosa fare quando la correzione manca. Chi mantiene il sito può disattivare il plugin, sostituirlo o limitarne l’uso, e conviene concordare la scelta prima che serva.
La voce più citata nelle offerte è anche la più generica. Un contratto preciso elenca che cosa si aggiorna, cioè core, plugin e temi, con quale cadenza ordinaria e con quale tempo per le correzioni di sicurezza urgenti. Indica anche se gli aggiornamenti maggiori, quelli che cambiano il funzionamento di un plugin, rientrano nel canone o si pagano a parte.
Prima di ogni aggiornamento chi mantiene il sito deve verificare la compatibilità con le personalizzazioni presenti. Sulla pagina di manutenzione WordPress Syroop descrive proprio questa verifica preventiva e un processo in cui ogni modifica resta tracciata e reversibile. Nell’offerta che stai valutando cerca lo stesso schema, cioè una copia di sicurezza prima di ogni passaggio e un registro degli interventi.
Un sito con codice su misura, come un tema child o un plugin scritto per il cliente, aggiunge una domanda. Il contratto deve stabilire chi controlla che quel codice funzioni dopo un aggiornamento del core e a quale tariffa si paga una correzione.
Un backup vale quanto la sua ultima verifica. Il contratto indica la frequenza delle copie, per quanto tempo si conservano, dove stanno e che cosa contengono, cioè file, database e impostazioni. La copia dovrebbe essere conservata anche in un ambiente separato dal server del sito, così da restare disponibile anche in caso di problemi all’infrastruttura principale.
La frequenza dipende dal sito. Un negozio WooCommerce che riceve ordini tutto il giorno ha bisogno di copie del database più ravvicinate di un sito vetrina che cambia una volta al mese, perché ogni ora tra due copie è un’ora di ordini da recuperare.
Chiedi anche il tempo di ripristino e chi lo esegue. Syroop dichiara backup automatici e manuali in ambienti separati, con la verifica dell’integrità di ogni copia. Un’offerta che nomina il backup senza citare il ripristino descrive metà del servizio.
Il monitoraggio avvisa chi mantiene il sito quando qualcosa smette di funzionare, prima che se ne accorga un cliente. Il contratto elenca che cosa si controlla, ogni quanto e chi riceve la notifica. Il controllo della disponibilità segnala che il server risponde. Per sapere se i form inviano le email e se i processi pianificati girano servono verifiche aggiuntive.
Le verifiche di CTRL Syroop per il monitoraggio coprono la raggiungibilità del sito e la configurazione DNS, lo stato dei processi automatici come il cron di WordPress, l’invio delle email e la presenza di account amministratore non autorizzati. La pagina del servizio segnala che un nuovo utente con privilegi elevati può indicare una compromissione del sito.
Nel confronto tra offerte chiedi l’elenco completo dei controlli. Verifica anche che la sicurezza rientri nel canone, per esempio con l’analisi periodica delle vulnerabilità dei plugin installati.
Un tempo di risposta senza unità di misura non impegna nessuno. Formule come assistenza rapida o supporto tempestivo non si possono controllare, mentre una risposta entro 8 ore lavorative si può verificare a ogni richiesta. Syroop dichiara questo impegno e, nella pagina di assistenza WordPress a Milano, descrive tempi di risposta definiti e un referente tecnico che conosce il progetto.
Il tempo di risposta indica quando qualcuno prende in carico la richiesta. Il tempo di risoluzione indica quando il problema è risolto. Un contratto serio riporta il primo e spiega come gestisce il secondo, con priorità diverse per un sito fermo e per una modifica ordinaria.
Le ore lavorative escludono la notte e i festivi. Chi vende online deve quindi chiedere se esiste una reperibilità fuori orario e a quale costo.
Metti le offerte una accanto all’altra e riporta per ogni voce la frequenza, il responsabile e il tempo. Una voce senza frequenza o senza responsabile è una promessa da chiarire prima della firma.
Controlla anche che cosa resta fuori dal canone, per esempio le ore di sviluppo, il ripristino dopo un attacco, le migrazioni e gli aggiornamenti maggiori. Chiedi la durata del contratto, le condizioni di disdetta e chi conserva gli accessi e i backup se il rapporto finisce. Prima di firmare puoi seguire cinque passi.
Da cosa dipende il canone di manutenzione WordPress?
Dipende dal numero di plugin installati, dalla presenza di codice su misura e dal tipo di sito, perché un e-commerce richiede più controlli di un sito vetrina. Pesano anche la frequenza dei backup e il tempo di risposta richiesto. Due offerte sono confrontabili solo quando indicano le stesse voci.
Ogni quanto vanno aggiornati i plugin di WordPress?
Gli aggiornamenti ordinari seguono la cadenza concordata nel contratto. Le correzioni di sicurezza richiedono un intervento più rapido, perché secondo Patchstack circa metà delle vulnerabilità ad alto impatto viene sfruttata entro 24 ore dalla pubblicazione.
Il backup dell’hosting sostituisce quello del contratto?
Dipende da dove sta la copia, da quanto si conserva e da chi la ripristina. Una copia conservata anche in un ambiente separato dal server principale resta disponibile in caso di problemi all’infrastruttura. Prima di rinunciare al backup del contratto, verifica queste tre condizioni sull’offerta dell’hosting.
Che differenza c’è tra tempo di risposta e di risoluzione?
Il tempo di risposta misura quando qualcuno prende in carico la richiesta. Il tempo di risoluzione misura quando il problema è risolto. Il contratto può garantire il primo con un numero preciso di ore e descrivere il secondo con priorità per tipo di problema.
Cosa succede se il sito va offline fuori orario?
Con un’assistenza in ore lavorative la presa in carico avviene alla riapertura, salvo una reperibilità concordata. Il monitoraggio segnala il guasto quando si verifica. Il contratto deve dire chi riceve l’avviso e se esiste un servizio fuori orario.
Una vulnerabilità in libheif mostra che la sicurezza WordPress dipende anche dal server. Come verificare upload HEIC, patch e mitigazioni.
Una vulnerabilità in un plugin WordPress non significa sempre che il sito sia compromesso. Versione installata, condizioni di sfruttamento e aggiornamenti disponibili aiutano a capire il rischio reale.
Copyright 2026 SYROOP SRL – via del Lauro, 2 – 20121 – Milano – syroopsrl@legalmail.it – P.IVA 13829780967
Richiedi informazioni o preventivi
L’accessibilità digitale consente a tutte le persone di navigare e utilizzare i contenuti online in modo semplice, autonomo ed efficace.
Gli strumenti disponibili in questo pannello permettono di personalizzare la visualizzazione del sito in base alle proprie esigenze e preferenze.
Le funzionalità offerte rappresentano un supporto aggiuntivo alla navigazione e non sostituiscono le tecnologie assistive, le impostazioni del browser o quelle del sistema operativo.
L’utilizzo di questo widget non garantisce, da solo, la conformità del sito ai requisiti di accessibilità previsti dalla normativa vigente o agli standard internazionali applicabili.
