Cosa succede se non aggiorno WordPress? Me lo chiedono spesso, di solito quando il sito è fermo da un anno e sembra funzionare benissimo. Sono Martina Tempesta, web designer a Roma con MarTe Graphics, e la risposta onesta è che per un po’ non succede niente di visibile. Il rischio cresce in silenzio, e quando si manifesta richiede molto più lavoro di quanto ne sarebbe servito per prevenirlo.
In breve: un sito non aggiornato non si rompe da un giorno all’altro, ma accumula falle già note a chi attacca. Secondo Patchstack, nel 2025 le nuove vulnerabilità dell’ecosistema WordPress sono cresciute del 42% e quasi tutte riguardavano i plugin. Il punto debole sono i componenti abbandonati e quelli lasciati indietro. Aggiornare non rompe il sito, se lo si fa con un metodo; quando la base è troppo vecchia, conviene rifarlo.
Cosa rischi davvero con un sito fermo da mesi?
Con un sito fermo da mesi rischi tre cose: che qualcuno entri da una falla già nota e corretta in una versione che non hai installato, che un aggiornamento fatto tutto insieme dopo tanto tempo rompa qualcosa, e che il server smetta di supportare la versione su cui il sito gira. Nessuna delle tre succede subito, ma ogni mese diventano più probabili.
Cosa succede davvero
- Le falle corrette negli aggiornamenti restano aperte sul tuo sito, e sono pubbliche.
- Il salto di versione diventa più lungo e più delicato.
- Prima o poi l’hosting alza la versione di PHP, il linguaggio del server, e i componenti vecchi non reggono.
- Moduli e collegamenti con altri servizi possono smettere di funzionare senza dare segni.
Cosa non succede
- Il sito non si spegne da un giorno all’altro.
- Google non guarda la versione dei tuoi componenti: il danno arriva se il sito viene violato o si rompe.
- Non serve aggiornare tutto in una notte per paura: serve farlo con regolarità e con metodo.
Anche il linguaggio del server ha una scadenza. Secondo il sito ufficiale di PHP, a ottobre 2026 ricevono ancora correzioni di sicurezza solo le versioni dalla 8.2 in su, e per la 8.2 si fermano il 31 dicembre 2026. Mi è capitato uno spazio di hosting ancora su una versione che non riceve aggiornamenti da più di dieci anni: prima di metterci sopra un sito, andava portato a una versione attuale. Quando l’hosting cambia versione e il sito non regge, compare spesso il messaggio di cui parlo nell’articolo su cosa significa «Si è verificato un errore critico».
Perché i plugin sono il punto debole?
I plugin sono il punto debole perché sono tanti, scritti da autori diversi e aggiornati con tempi diversi. Secondo il rapporto di Patchstack sulla sicurezza di WordPress, nel 2025 sono state scoperte 11.334 nuove vulnerabilità nell’ecosistema WordPress, il 42% in più rispetto al 2024, e il 91% riguardava i plugin. Il programma di base ne ha avute sei, tutte di bassa gravità.
Ogni plugin è una porta in più. Un sito con decine di componenti, alcuni installati per una prova e mai tolti, dipende per la sua sicurezza da decine di autori diversi. E un plugin disattivato resta comunque sul server: se contiene una falla, si può sfruttare lo stesso.
Conta anche la velocità. Lo stesso rapporto misura in cinque ore il tempo mediano fra la notizia di una falla e il primo tentativo di sfruttarla su larga scala: chi aggiorna una volta l’anno resta scoperto per mesi.
Durante il controllo di un negozio online che stavo rimettendo in piedi, ho trovato il componente di vendita indietro di qualche versione e, attraverso un accesso secondario rimasto aperto, i prodotti di prova si potevano ordinare anche se dalla vetrina non si vedevano. Nessuna intrusione, per fortuna. Lo racconto perché è il tipo di problema che non dà segni finché qualcuno non lo usa.
Cos’è un plugin abbandonato, e come si riconosce?
Un plugin abbandonato è un componente che il suo autore non aggiorna più: niente correzioni di sicurezza, niente adattamenti alle nuove versioni di WordPress e di PHP. Continua a funzionare finché qualcosa intorno non cambia, e se viene scoperta una falla resta aperta. Secondo Patchstack, nel 2025 il 46% delle vulnerabilità non aveva una correzione al momento della divulgazione.
I segnali di un componente lasciato indietro
- I suoi aggiornamenti si sono fermati da anni, mentre WordPress è andato avanti.
- La sua pagina ufficiale avvisa che non è stato provato con le versioni recenti, o che è stato chiuso.
- Fa una cosa che oggi WordPress o il tema fanno già da soli.
- Nessuno ricorda più perché è stato installato.
- È una copia modificata a mano o presa fuori dai canali ufficiali, che non si può aggiornare.
Su un sito che ho preso in carico la grafica, le testimonianze e altri componenti risalivano a più di dieci anni prima, e i loro autori non li aggiornavano più da tempo. Anche il programma del sito era fermo da anni. È la situazione in cui un attacco diventa questione di tempo: cosa succede dopo lo racconto nell’articolo su cosa fare con un sito hackerato.
Un componente abbandonato non si aggiorna: si sostituisce con uno vivo, oppure si toglie e la sua funzione si rifà in un altro modo. È una scelta che faccio caso per caso, guardando cosa fa e quanto pesa sul sito.
Se aggiorno, il sito si rompe?
Un aggiornamento può rompere il sito, ma succede soprattutto quando si aggiorna tutto insieme dopo mesi, senza una copia di sicurezza e senza controllare il risultato. Fatti con regolarità, i salti di versione sono piccoli e i conflitti più rari. Il rischio maggiore lo corre chi aspetta, perché ogni aggiornamento rimandato rende il successivo più grande e più delicato.
I conflitti tipici sono tre: due componenti che non vanno più d’accordo dopo che uno dei due è cambiato, un componente vecchio che non regge la nuova versione di PHP, e un tema modificato direttamente, le cui modifiche spariscono alla prima versione nuova. Il risultato si vede come pagina bianca, grafica saltata o messaggio di errore.
Come lavoro ioPrima di aggiornare faccio sempre una copia completa del sito e, sui siti più delicati, provo gli aggiornamenti su una copia di lavoro. Poi controllo le pagine principali, i moduli di contatto e, nei negozi, il carrello. È la parte che un aggiornamento automatico non fa.
Un sito seguito con regolarità si aggiorna a piccoli passi. Un sito fermo da anni, a volte, non si aggiorna più.
Cosa vuol dire fare manutenzione sul serio?
Fare manutenzione sul serio vuol dire aggiornare WordPress, tema e plugin con un metodo, controllare dopo ogni aggiornamento che il sito e i moduli funzionino, tenere copie di sicurezza da cui si possa davvero ripartire, sorvegliare la sicurezza e intervenire quando qualcosa non va. Premere il pulsante che aggiorna è la parte più breve del lavoro.
| Aspetto | Aggiornamenti automatici | Manutenzione seguita |
|---|---|---|
| Chi decide cosa aggiornare | Il sistema, un componente alla volta | Io, guardando le compatibilità |
| Controllo dopo l’aggiornamento | Nessuno | Pagine, moduli, carrello |
| Copie di sicurezza | Dipende dall’hosting | Fatte prima, conservate fuori dal server |
| Componenti abbandonati | Restano dove sono | Sostituiti o tolti |
| Versione di PHP | Fuori dal loro compito | Seguita insieme all’hosting |
| Se qualcosa si rompe | Te ne accorgi quando lo nota qualcuno | Si torna indietro dalla copia |
Nei siti che realizzo il primo anno di manutenzione è incluso nel preventivo, e nello stesso preventivo trovi già il costo dal secondo anno in poi: sai dall’inizio cosa comprende e non devi rincorrere nessuno quando esce un aggiornamento. In sintesi trovi le voci anche nelle domande frequenti del sito.
Se il sito l’ha fatto un altro e oggi non lo segue nessuno, si parte da un controllo dello stato attuale: versioni, componenti, copie di sicurezza, accessi. È il metodo che descrivo nella guida all’assistenza siti web.
Quando conviene rifare invece di aggiornare?
Conviene rifare invece di aggiornare quando il sito poggia su componenti abbandonati che non hanno sostituti, su un tema modificato in modo da non poter più essere aggiornato, o su versioni così vecchie che il salto è più rischioso di una base nuova. Lo stesso vale dopo una violazione estesa. Testi, foto e indirizzi delle pagine si portano comunque sul sito nuovo.
La decisione la prendo dopo un controllo, non a sensazione: guardo quanti componenti sono ancora vivi, quanto è indietro il programma e quanto lavoro servirebbe per rimetterlo in pari. A volte basta aggiornare e togliere il superfluo. Altre volte rimettere in pari un sito vecchio richiede più lavoro, e lascia più incognite, di una base nuova con gli stessi contenuti e gli stessi indirizzi.
Quando il controllo dice che si può aggiornare, si aggiorna e si continua con la manutenzione. Quando dice di no, preferisco dirlo subito, prima che sia una violazione o un errore improvviso a decidere al posto tuo.
Domande frequenti
Le risposte più richieste
Aiutano, ma non bastano. Aggiornano un componente alla volta senza controllare che il sito funzioni ancora, non si accorgono dei componenti abbandonati, che non ricevono più aggiornamenti, e non si occupano della versione di PHP sul server. Sono utili per le correzioni di sicurezza urgenti; il resto richiede qualcuno che guardi il risultato e sappia tornare indietro se qualcosa si rompe.
Le correzioni di sicurezza andrebbero applicate appena escono, perché fra la notizia di una falla e i primi attacchi passano spesso poche ore. Gli altri aggiornamenti si possono raggruppare e provare con calma, senza però lasciarli accumulare per mesi. Più di una frequenza fissa conta la continuità: un sito controllato con regolarità ha sempre piccoli salti di versione, mai uno grande.
Sì. Gli attacchi sono quasi tutti automatici: programmi che cercano su migliaia di siti una versione precisa di un componente con una falla nota, senza guardare chi sei. Un sito vetrina di poche pagine con un plugin vecchio è un bersaglio come un negozio grande. In più, un sito piccolo spesso non lo controlla nessuno, quindi una violazione può restare nascosta a lungo.
Elementor è anch’esso un plugin, e spesso porta con sé pacchetti di componenti aggiuntivi di autori diversi. Più pezzi vuol dire più aggiornamenti da coordinare: il costruttore di pagine e i suoi pacchetti devono restare compatibili fra loro, e quando uno va avanti e l’altro resta indietro la grafica può saltare. Si può usare tranquillamente, a patto che qualcuno ne segua gli aggiornamenti con attenzione.
In parte. Molti hosting tengono aggiornato il server e alcuni aggiornano anche WordPress, ma non conoscono il tuo sito: non sanno quali componenti usi, non controllano che dopo l’aggiornamento il modulo contatti funzioni ancora e non sostituiscono un plugin abbandonato. E quando cambiano la versione di PHP lo fanno per tutti i siti, che il tuo sia pronto oppure no.
Aggiornamenti di WordPress, del tema e dei plugin, con il controllo che dopo ogni aggiornamento il sito e i moduli funzionino; copie di sicurezza periodiche e ripristino se serve; controllo che il sito sia online; interventi di sicurezza e supporto tecnico quando qualcosa non va. È un servizio annuale, che definisco già nel preventivo iniziale, così sai fin dall’inizio cosa è compreso.
Martina TempestaWeb designer a Roma, titolare di MarTe Graphics. Dal 2013 progetto siti per studi professionali, aziende e attività locali.
