Wordfence scopre malware WordPress nascosto come plugin must-use
Wordfence descrive un malware installato come must-use plugin su WordPress, con meccanismi per sopravvivere alla rimozione.
Redazione UptimeMag · 22 settembre 2026 · 1 minuti di lettura
Il Wordfence Threat Intelligence Team ha pubblicato il 22 settembre 2026 un'analisi tecnica su un malware WordPress individuato a metà giugno durante la pulizia di un sito cliente. La particolarità: il codice malevolo non è un plugin normale, ma un must-use plugin (mu-plugin), la categoria di file PHP che WordPress carica automaticamente da wp-content/mu-plugins/ senza passare dalla schermata "Plugin" del backend. Per chi amministra hosting condiviso o gestisce decine di installazioni WordPress per conto terzi, è un dettaglio che cambia le procedure di controllo: un mu-plugin non si disattiva da pannello, va cercato direttamente nel filesystem.
Perché i mu-plugin sono un nascondiglio comodo
Secondo quanto riportato da Wordfence, i file in mu-plugins vengono eseguiti ad ogni richiesta ma non compaiono tra i plugin attivi o disattivabili dall'amministratore di WordPress. Questo li rende un punto cieco per chi fa controlli solo dall'interfaccia web: una scansione visiva della lista plugin non li intercetta.
Il meccanismo di self-healing
Il post descrive il campione come dotato di "several self-healing mechanisms in place in order to survive removal" (diversi meccanismi di auto-riparazione per sopravvivere alla rimozione). La fonte non specifica nel riassunto disponibile i dettagli implementativi di questi meccanismi; per le tecniche esatte (hook usati, file coinvolti, metodo di reinfezione) rimandiamo alla pubblicazione integrale sul blog di Wordfence.
Cosa controllare lato hosting
Per chi gestisce server condivisi la pratica operativa resta quella nota: includere wp-content/mu-plugins/ nelle scansioni antimalware periodiche, non limitarsi all'elenco plugin da wp-admin, e verificare i permessi di scrittura sulla cartella, che in teoria dovrebbe essere popolata solo manualmente da chi amministra il sito e non da processi web-facing.
Fonte: Wordfence Threat Intelligence Team, blog ufficiale, 22 settembre 2026 — https://www.wordfence.com/blog/2026/09/inside-a-malicious-stealthy-wordpress-must-use-plugin/
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50). Fonte: Wordfence – vulnerabilità WordPress.