Il programma di ricerca di vulnerabilità di Patchstack sta registrando una crescita molto rapida: oltre 1.000 vulnerabilità valide erano già state segnalate nei primi mesi dell’anno, con più di 1.000 nuove segnalazioni soltanto a luglio.
Il vero problema, però, a parte la quantità enorme di segnalazioni è l’impossibilità di contattare gli sviluppatori dei plugin vulnerabili. In molti casi mancano completamente i riferimenti, i domini sono scaduti, i moduli di contatto non funzionano o le caselle email sono ormai inattive.
Il risultato è particolarmente preoccupante: Patchstack ha individuato numerose vulnerabilità non corrette in plugin presenti nel repository ufficiale di WordPress.org. Dopo aver segnalato la situazione al team di revisione di WordPress, oltre il 70% dei plugin è stato definitivamente chiuso, mentre soltanto 109 sono stati aggiornati.
I plugin Zombie
Molti di questi software sono installati su migliaia di siti senza ottenere più manutenzione, senza comunicare agli utenti che il progetto è abbandonato e senza offrire un’alternativa.
Secondo i dati di Patchstack, i casi coinvolgono fino a 1,6 milioni di installazioni attive, con vulnerabilità che arrivavano a un punteggio CVSS di 9,1. Il plugin più vecchio non veniva aggiornato da 13 anni.
La questione solleva quindi un problema strutturale dell’ecosistema WordPress: il software può essere gratuito e open source, ma questo non elimina la responsabilità di chi lo distribuisce quando milioni di utenti continuano a farne affidamento.
Perchè la sicurezza finisce quando qualcuno smette di mantenerlo e si dimentica di dirlo agli utenti.
