Wordfence: nel Q2 2026 2.073 vulnerabilità WordPress, 573mila siti infetti

Wordfence ha pubblicato il 29 settembre 2026 il suo report trimestrale di threat intelligence sull'ecosistema WordPress, relativo al secondo trimestre 2026. Per chi gestisce hosting condiviso o VPS con installazioni WordPress dei clienti, i numeri indicano quanto traffico ostile arriva ogni giorno su plugin e temi, prima ancora che un sito venga violato.

I numeri del trimestre

Secondo il report ufficiale di Wordfence, nel Q2 2026 sono state pubblicate 2.073 vulnerabilità WordPress, di cui 182 classificate come "high threat". Nello stesso periodo il Web Application Firewall di Wordfence ha bloccato 10,4 miliardi di attacchi e 18,2 miliardi di tentativi di brute force. Il report segnala inoltre 573.000 siti infetti rilevati nel trimestre.

Metrica	Valore Q2 2026
Vulnerabilità pubblicate	2.073
Vulnerabilità ad alta gravità	182
Attacchi WAF bloccati	10,4 miliardi
Tentativi di brute force bloccati	18,2 miliardi
Siti infetti rilevati	573.000

Wordfence dichiara di aver analizzato anche le classi di vulnerabilità più diffuse, l'attività degli attaccanti e le tendenze del malware riscontrato sui siti compromessi, senza però riportare nel comunicato il dettaglio numerico di queste sottocategorie.

Cosa significa per chi gestisce hosting

Per un provider o un'agenzia che ospita installazioni WordPress di terzi, la cifra più operativa è quella delle vulnerabilità ad alta gravità: 182 in tre mesi significa in media più di due a settimana, concentrate su plugin e temi che vanno monitorati con un sistema di scansione aggiornato, non solo sul core di WordPress. I volumi di attacchi bloccati (WAF e brute force) confermano che il traffico ostile verso gli endpoint di login e gli endpoint REST è ormai di fondo e va filtrato a monte, non gestito caso per caso dopo un incidente.

Il report completo, con il dettaglio delle classi di vulnerabilità e dei trend di malware, è disponibile sul blog ufficiale di Wordfence all'indirizzo indicato nella fonte.