La gestione della sicurezza dei server web e delle applicazioni pubbliche affronta oggi una minaccia subdola e diffusa, dove la superficie di attacco non è più rappresentata soltanto dai grandi database centralizzati, ma dalla miriade di piccoli tasselli che compongono il web quotidiano. I CMS (Content Management System), muovono oltre la metà dei siti internet mondiali, offrendo a imprese e professionisti strumenti agili per pubblicare contenuti, gestire vendite e interagire con l’utenza. Tuttavia, questa enorme diffusione li rende il bersaglio perfetto per campagne di scansione automatizzate su scala globale. La recente allerta ufficiale dell’Australian Signals Directorate (ASD), rilasciata tramite l’ACSC (Australian Cyber Security Centre), evidenzia una vastissima campagna d’attacco indiscriminato che colpisce a tappeto non solo le grandi realtà, ma in particolar modo le PMI a livello internazionale. I gruppi di cybercriminali stanno impiegando bot automatici per individuare falle di sicurezza che consentono il caricamento non autorizzato di file, l’esecuzione di codice da remoto (RCE) o la de-serializzazione non sicura, con l’obiettivo ultimo di installare webshell persistenti sui server web compromessi.
Nel vasto ecosistema di WordPress, la minaccia non si concentra sul codice sorgente della piattaforma in sé, bensì sulla sua sterminata libreria di estensioni di terze parti. I plugin rappresentano storicamente l’anello debole della catena e questa campagna globale ne prende di mira diversi, alcuni dei quali identificati come critici nei bollettini ufficiali. Tra i bersagli principali figurano infatti vulnerabilità distinte come la CVE-2020-36847 e la CVE-2025-34085 nel plugin Simple File List, la CVE-2025-12057 in WavePlayer, e la CVE-2025-7443 in BerqWP. A queste si sommano attacchi diretti contro estensioni ampiamente diffuse come WPBookit(tramite la CVE-2025-7852), Ninja Forms (tramite la CVE-2026-0740), ThemeREX Addons, Breeze Cache, ACF Extended, WPvivid Backup e Gravity Forms. Quando un plugin vulnerabile viene individuato dai bot, il server riceve un pacchetto dati appositamente modificato che costringe l’applicazione a salvare una backdoor (webshell) all’interno delle directory dei plugin o dei file multimediali, garantendo agli attori malevoli un accesso persistente, in grado di bypassare i normali meccanismi di autenticazione dell’interfaccia amministrativa.
Un altro fronte caldissimo di questa campagna globale riguarda Craft CMS, una piattaforma molto apprezzata da sviluppatori e agenzie per la flessibilità nel design, ma finita recentemente sotto una pesante raffica di attacchi. Il focus dei cybercriminali si è concentrato su gravi falle di sicurezza, tra cui la vulnerabilità catalogata come CVE-2025-32432, sfruttata attivamente sul campo per mesi prima che venisse rilasciata e applicata una patch correttiva. Accanto a questa si registra lo sfruttamento sistematico di bug legati alla gestione delle configurazioni di esecuzione nei server PHP, come la vulnerabilità CVE-2024-56145, che affligge i server in cui è attiva l’impostazione register_argc_argv. Sfruttando questa debolezza strutturale di PHP combinata con la logica di routing di Craft CMS, un utente malintenzionato non autenticato può inviare argomenti di riga di comando tramite semplici richieste HTTP, ingannando l’applicazione e costringendola a eseguire codice arbitrario direttamente sul server ospitante, con conseguenze devastanti per l’integrità dei database collegati.
La diversificazione degli attacchi emerge con forza guardando anche ad altre piattaforme storiche o di nicchia che completano il panorama del web design aziendale. Nel caso di Joomla!, gli scanner non stanno colpendo il nucleo del CMS, ma si stanno concentrando storicamente sull’estensione di editing di testo JCE (Joomla Content Editor), una delle più installate di sempre su questa piattaforma, dove vecchi e nuovi exploit di caricamento file arbitrari vengono costantemente testati contro i siti con gli amministratori più pigri negli aggiornamenti. Parallelamente, la campagna globale ha registrato attività di scansione aggressive verso piattaforme come MaxSite CMS e MetInfo CMS, dove gli aggressori cercano vulnerabilità di de-serializzazione non sicura dei dati o di SSRF (Server-Side Request Forgery). Queste falle consentono ai bot di costringere il server web a effettuare richieste non autorizzate verso l’interno della rete aziendale o a leggere file di configurazione contenenti le credenziali in chiaro del database, espandendo l’intrusione ben oltre il singolo sito internet compromesso.
Per i gestori IT e gli amministratori di sistema, l’alert di cyber.gov.au fornisce indicazioni pratiche ed estremamente rigorose su come verificare una potenziale compromissione e difendersi in futuro. In primo luogo, l’agenzia consiglia di ispezionare accuratamente la directory principale del web server alla ricerca di modifiche anomale ai file e di controllare la creazione di script inusuali all’interno delle specifiche cartelle dei plugin vulnerabili. Diventa poi cruciale analizzare i log degli accessi web per individuare richieste sospette dirette verso percorsi tipici delle webshell. Nel caso in cui venga rilevata una compromissione, il server deve essere immediatamente isolato dalla rete aziendale per impedire movimenti laterali e i log di rete dei firewall perimetrali devono essere analizzati a ritroso per rintracciare i tentativi di esfiltrazione dati o di creazione di nuovi account amministrativi abusivi.
L’aspetto più preoccupante di questa massiccia ondata di compromissioni risiede nella discrepanza temporale tra la disponibilità delle soluzioni di sicurezza e la reale applicazione delle stesse. L’allerta dell’ASD/ACSC evidenzia come l’uso di tool basati sull’intelligenza artificiale da parte dei cybercriminali abbia ridotto drasticamente la finestra temporale tra la scoperta di una vulnerabilità e il suo sfruttamento attivo, rendendo la reattività estemporanea del tutto insufficiente. Diventa quindi indispensabile superare l’approccio dell’intervento “al bisogno” per adottare policy di sicurezza strutturate e processi standardizzati all’interno dell’azienda. Una corretta strategia di prevenzione deve prevedere una policy di patch management rigorosa (che imponga l’applicazione automatica o programmata degli aggiornamenti entro poche ore dal rilascio), l’assegnazione di privilegi ben selezionati, tutt’al più minimi, e l’implementazione di soluzioni che blocchino il traffico anomalo. Investire sulla prevenzione e sulla definizione di linee guida chiare non è più una misura accessoria legata alla dimensione del fatturato, ma una priorità operativa ineludibile per garantire la continuità del business e proteggere l’intera infrastruttura aziendale da intrusioni devastanti.
