Dal 5 giugno 2026 ogni rilascio di plugin e di tema resta in attesa per 6 ore prima di arrivare ai siti. Il 9 settembre il Plugins Team di WordPress.org ha spiegato che le versioni giudicate ad alto rischio vengono ora fermate in automatico, con un’email agli autori che spiega perché.
Fonte primaria: il post Automated security review for plugin releases sul blog ufficiale del Plugins Team, firmato da David Perez e pubblicato il 9 settembre 2026. Lo abbiamo letto per intero il 7 ottobre 2026. Quello che segue arriva da lì, salvo dove è scritto il contrario.
Che cosa è stato annunciato
Ogni nuova versione di un plugin ospitato su WordPress.org viene analizzata prima di essere distribuita attraverso l’API di aggiornamento, la stessa che alimenta l’aggiornamento con un clic dalla bacheca di WordPress. Si cercano rischi di sicurezza, voluti o accidentali.
Il motivo dichiarato è un vuoto nel processo. I plugin nuovi vengono revisionati prima di entrare nella directory, ma gli aggiornamenti partono di continuo, e fino a oggi tra il momento in cui una versione viene caricata e quello in cui arriva su milioni di siti non esisteva un controllo uniforme.
Il post porta un caso concreto. Il 28 luglio una backdoor è stata inserita in una versione di un plugin con circa 20.000 installazioni attive. Il controllo automatico l’ha individuata e le ha dato un punteggio di sicurezza alto. La versione era ancora nella finestra di attesa e non è mai stata distribuita. Il plugin è stato chiuso ai download 26 minuti dopo l’avviso di Wordfence al Plugins Team. Il post non dice di quale plugin si tratti.
Da qui la novità del 9 settembre: un risultato ad alto rischio deve fermare la distribuzione da solo, senza aspettare che qualcuno del team sia disponibile.
Come funziona il controllo
- Attesa. Dal 5 giugno ogni rilascio di plugin e di tema attraversa un periodo di attesa prima della distribuzione, compresi gli aggiornamenti con un clic. Oggi dura 6 ore.
- Analisi. In quel periodo le modifiche della versione vengono esaminate da più modelli di intelligenza artificiale insieme a Jetpack Scan. I risultati vengono incrociati e riassunti in un punteggio di sicurezza.
- Blocco. Con un punteggio alto la versione viene fermata appena l’analisi finisce e tutti gli autori con accesso al plugin ricevono un’email con i risultati. Sotto la soglia, la versione prosegue.
- Nessun giudizio sull’intenzione. Il punteggio misura il rischio, non le intenzioni: una vulnerabilità introdotta per errore può pesare quanto un malware voluto.
Per sbloccare una versione il Plugins Team indica una strada: leggere i risultati, correggere e pubblicare una nuova versione, che rientra nel normale percorso se scende sotto la soglia. Chi ritiene sbagliato un risultato può scrivere al team, ma il post precisa che una versione corretta è quasi sempre più veloce di un ricorso.
Che cosa cambia per chi gestisce un sito
Nessuna impostazione da toccare. Il post è rivolto agli autori dei plugin, e chi amministra un sito non deve fare nulla per aderire.
Se ne ricavano però due effetti pratici, e li ricaviamo noi dal testo, non li dichiara il post. Il primo: un aggiornamento può comparire nella bacheca con alcune ore di scarto rispetto a quando l’autore lo ha caricato. Il secondo: una versione bloccata semplicemente non arriva, e il sito resta sulla versione che già ha.
Noi leggiamo la notizia da due lati: come chi installa plugin sui siti delle piccole imprese e come chi i plugin li scrive. Nella nostra esperienza il rischio più frequente non è un aggiornamento in ritardo di qualche ora, è un aggiornamento che non viene mai fatto. Un controllo in più a monte non sostituisce le abitudini di base: copie di sicurezza, aggiornamenti regolari, pochi plugin e solo quelli che servono. Se vuoi un metodo per scegliere, c’è la guida alla scelta dei plugin per la PMI.
Un controllo sul codice non dice nulla nemmeno su quali dati un plugin mandi fuori dal sito. Per quello abbiamo scritto come capire quali dati escono dal tuo sito.
Che cosa non è ancora chiaro
Il post non indica la soglia numerica oltre la quale una versione è considerata ad alto rischio. Non dice quante versioni siano state fermate dal 5 giugno, né quanti falsi positivi ci siano stati: parla di falsi positivi bassi ma non pari a zero, senza cifre.
Non dice se una correzione urgente di sicurezza possa saltare le 6 ore. Non dice nemmeno nulla sui plugin che non passano da WordPress.org: molti plugin a licenza ricevono gli aggiornamenti da un server del fornitore, come abbiamo descritto parlando di licenza annuale e scadenza, e per quelli il testo non chiarisce se esista un controllo equivalente.
Infine, il Plugins Team scrive che il processo continuerà a cambiare e che la durata dell’attesa è quella di oggi. Le 6 ore potrebbero non restare 6 ore.
Sai già quali dei plugin installati sul tuo sito si aggiornano da WordPress.org e quali da un server del fornitore?