Filesystem ripulito, backdoor tornata dopo poche ore: il centro di comando del malware viveva su uno smart contract Ethereum e la persistenza era nel database, non nei file.
Leggi →
Uno studio legale su WordPress 7.0.0, bucato da WP2Shell (CVE-2026-63030): homepage a 500, webshell nel core. Bonificato in una notte, in autonomia, senza toccare i dati dei clienti.
Leggi →
La dashboard di WordPress mostrava due amministratori puliti. Il database ne contava tre: uno nascosto da un filtro iniettato via CDN di OptinMonster.
Leggi →
Un attaccante sfrutta una falla RCE da punteggio massimo (CVSS 10.0) su un sito di donazioni con GiveWP: bloccato in 23 minuti, prima che un solo dato uscisse.
Leggi →
Una webshell caricata da una falla RCE di Forminator, chiusa in 3 ore su un e-commerce da 4.200 ordini: zero dati persi, zero downtime, nessun backup vecchio ripristinato.
Leggi →
Ad aprile 2026 WordPress.org ha chiuso 31 plugin: dentro un malware il cui centro di comando non vive su un server, ma su uno smart contract Ethereum. Ecco perché è così difficile da fermare.
Leggi →
A giugno 2026 tre attacchi supply chain in una settimana hanno infilato il malware dentro gli aggiornamenti ufficiali di WordPress: ecco perché "aggiorna sempre" non basta più, e cosa controllare.
Leggi →
Una falla in Elementor Pro sotto la 4.2.2 trasforma il page builder di milioni di siti WordPress in una porta per eseguire codice sul tuo server. Ecco perché riguarda anche il tuo sito, e i passi per chiuderla.
Leggi →
Una falla CVSS 10.0 in GiveWP permette a un attaccante di eseguire comandi sul tuo server senza password e senza un clic: se raccogli donazioni con WordPress, la porta è aperta finché non aggiorni.
Leggi →
Una falla nel core di WordPress (WP2Shell, CVE-2026-63030 e CVE-2026-60137) apre una webshell sul tuo sito senza bisogno di login: exploit pubblico, scansioni di massa in corso. Ecco come controllare la tua versione e chiudere la porta in due minuti.
Leggi →
Photo: Patrick Rose / Unsplash Quando un sito WordPress viene hackato in modo serio, la domanda non è "se" si può recuperare. È quanto tempo, quanti soldi, e quanti dati si perdono nel processo. La risposta varia molto a seconda di chi gestisce la pulizia.
Leggi →