WordPress: il problema non è il plugin,
è l'architettura

La CVE-2026-3098: mezzo milione di siti esposti

Il 29 marzo 2026, BleepingComputer ha pubblicato i dettagli della CVE-2026-3098, una vulnerabilità nel plugin Smart Slider 3 per WordPress. Il plugin è installato su oltre 500.000 siti web nel mondo.

La falla è di tipo Arbitrary File Read: un utente autenticato, anche con il ruolo più basso previsto da WordPress (subscriber), può leggere qualsiasi file presente sul server. Non serve essere amministratori, né sviluppatori, né attaccanti sofisticati.

Il bersaglio principale è il file wp-config.php, che contiene le credenziali del database, le chiavi di sicurezza e i parametri di configurazione del sito. Chi ottiene questo file ha le chiavi dell'intera installazione: database, contenuti, account amministrativi, tutto.

Non è un caso isolato: è un pattern strutturale

La CVE-2026-3098 non è un'eccezione. WordPress rappresenta il 43% dei siti web nel mondo e il 90% di tutti i CMS compromessi. Il problema non è un singolo plugin vulnerabile: è l'architettura stessa.

• Database esposto— ogni installazione WordPress ha un database MySQL accessibile dal server. Le credenziali sono in un file di testo sul filesystem.
• Pannello admin attaccabile — /wp-adminè raggiungibile da chiunque. Attacchi brute-force, credential stuffing e phishing lo prendono di mira costantemente.
• Ecosistema plugin non controllato— ogni plugin esegue codice PHP sul server con gli stessi privilegi dell'applicazione. Un plugin vulnerabile compromette l'intero sito.
• Patching inertia— la gestione è decentralizzata, i gestori spesso non hanno competenze tecniche. Una vulnerabilità nota e corretta può rimanere sfruttabile per mesi o anni.

L'alternativa: cambiare architettura

La soluzione non è un hosting migliore o un plugin di sicurezza in più. È un cambio di architettura: siti statici pre-renderizzati, distribuiti su CDN globale, protetti da Web Application Firewall (WAF) e deployati automaticamente.

Un sito statico non ha database, non ha CMS, non ha pannello di amministrazione, non ha plugin. La superficie di attacco è ridotta quasi a zero. Il contenuto viene generato a build time e servito come file HTML dalla CDN più vicina all'utente.

È l'approccio che usiamo per il nostro stesso sito e che proponiamo ai clienti con il nostro servizio di hosting gestito: infrastruttura Azure con App Service o Static Web Apps, Azure Front Door con WAF, CDN globale, certificati TLS automatici e deploy da GitHub.

Cosa fare adesso

Se il tuo sito usa WordPress:

• 1Aggiorna subito— verifica che Smart Slider 3 sia aggiornato alla versione 3.5.1.34 o successiva. Aggiorna tutti i plugin e il core di WordPress.
• 2Controlla gli utenti— rivedi la lista degli utenti registrati. Disabilita la registrazione se non è necessaria. Rimuovi gli account inutilizzati.
• 3Verifica wp-config.php— se sospetti una compromissione, cambia immediatamente le credenziali del database e le chiavi di sicurezza.
• 4Valuta la migrazione— se il tuo sito è prevalentemente informativo (sito vetrina, landing page, blog), valuta la migrazione a un'architettura statica. È più sicura, più veloce e costa meno in manutenzione.