Un sito WordPress trascurato non si vede subito: si vede quando viene attaccato. Secondo il report State of WordPress Security 2026 di Patchstack, il 91% delle vulnerabilità documentate nell’ecosistema arriva dai plugin, non dal core — aggiornare WordPress da solo protegge da una minoranza dei rischi reali.
La cadenza che conta davvero
Il motivo per cui conta la cadenza mensile, non il singolo aggiornamento: ogni falla diventa pubblica nel momento in cui lo sviluppatore pubblica la patch, e chi scrive malware automatizzato legge i changelog più in fretta di chi gestisce il sito. Un controllo ogni sei mesi significa sei mesi di finestra aperta; uno al mese la riduce a quattro settimane.
Il controllo che fa davvero la differenza è il backup: non basta che esista, va provato a ripristinare su un ambiente separato. Se il ripristino fallisce — file mancanti, database corrotto, credenziali scadute — meglio scoprirlo un martedì qualsiasi che il giorno dell’attacco. È anche una questione di infrastruttura gestita: un backup testato vale quanto il server su cui gira.
Cosa si automatizza, cosa resta una decisione
Gli aggiornamenti minori e le scansioni malware si automatizzano senza perdere qualità. Quello che resta compito umano è il giudizio: se un aggiornamento maggiore rompe qualcosa, se un plugin va sostituito perché abbandonato dallo sviluppatore, se un’anomalia nella scansione è un falso positivo o un’infezione reale. È il modello dell’imprenditore 5.1: la decisione resta a chi gestisce il sito, l’esecuzione ripetitiva no.
Prima di decidere cosa automatizzare, bastano due verifiche: controllare da quanto tempo ogni plugin attivo non riceve un aggiornamento, e provare davvero a ripristinare l’ultimo backup. Se uno dei due fallisce, non è un problema di buona volontà — è l’assenza di un meccanismo ricorrente. Se vuoi un primo confronto su cosa risulta dal tuo sito, parliamone in un primo contatto senza impegno.