La società che controlla WP Rocket avrebbe ottenuto una credenziale amministrativa permanente tramite un aggiornamento di routine del plugin

Quando un plugin SEO chiude una dozzina di vulnerabilità e, nello stesso aggiornamento, apre una porta amministrativa permanente verso un server esterno, chi gestisce campagne capisce subito che il problema non è tecnico: è una questione di controllo su dati, conversioni e budget. È quello che è accaduto con Rank Math 1.0.277, rilasciato lo scorso 26 agosto 2026. Il 28 agosto, Sybre Waaijer, fondatore di The SEO Framework, ha pubblicato una ricostruzione dettagliata su X in cui documenta un comportamento che difficilmente può essere archiviato come semplice incidente.

Una password che non scade, su 4 milioni di siti

Rank Math è installato su oltre 4 milioni di siti. Nella stessa versione 1.0.277, stando alla ricostruzione di Waaijer, group[.]one — la società che controlla anche WP Rocket — acquisisce privilegi amministrativi sul sito. Il meccanismo è preciso: quando un amministratore connesso a un account gratuito rankmath[.]com apre la schermata “Help & Support”, il plugin crea immediatamente una password applicativa WordPress per quell’utente e la invia ai server di group[.]one. Quella password non scade e il “Support Agent” non può essere disattivato dall’utente.

Il punto non è che un plugin SEO possa offrire supporto remoto. Il punto è che qui non esiste un opt-in revocabile: la credenziale resta attiva a tempo indeterminato. Per chi gestisce un sito che alimenta campagne a pagamento, significa che un server terzo conserva la possibilità di accedere all’area amministrativa senza una data di scadenza. La domanda successiva non riguarda il codice, ma la storia recente di chi distribuisce Rank Math.

Il precedente WPForms e l’ecosistema sospetto

Non è la prima volta. Tre settimane prima dell’aggiornamento Rank Math, lo stesso Sybre Waaijer aveva documentato una backdoor in WPForms Lite 2.0.0, attribuendola a Syed Balkhi di Awesome Motive. Le accuse non si fermano al singolo rilascio: Waaijer sostiene che WPBeginner abbia costruito un secondo canale di potere amministrativo e abbia travestito il pacchetto.org da open source mentre la sessione reale e gli URL del pacchetto risiedono sul loro lato.

L’ironia è difficilmente ignorabile: strumenti venduti come ottimizzazione SEO e lead generation trasformano un aggiornamento di routine in un vettore di controllo amministrativo. Waaijer aggiunge che per anni questi attori avrebbero installato trasversalmente i propri plugin e disattivato quelli dei concorrenti, incluso The SEO Framework. Se il pattern è sistematico, per chi pianifica campagne la domanda non è “se” ma “quanto” il proprio sito sia già esposto.

Cosa fare quando il controllo non è revocabile

Per chi pianifica budget e monitora conversioni, il dettaglio tecnico conta solo per una ragione: una credenziale amministrativa che non scade è una falla permanente. Le password applicative di WordPress, come riportato in un’analisi sul funzionamento delle Application Passwords, portano la piena autorità dell’utente a cui appartengono, senza limitazioni di capacità. In pratica, chi detiene quella password può fare tutto ciò che può fare l’amministratore che l’ha generata.

A questo si somma la falla di controllo degli accessi rilevata lo stesso 26 agosto: secondo l’advisory di sicurezza, consente agli utenti con ruolo Editor di modificare impostazioni core di WordPress riservate agli amministratori. Il quadro che emerge è quello di un sito in cui i livelli di privilegio non sono più affidabili: un Editor può alterare configurazioni riservate e, parallelamente, una password applicativa non revocabile può essere usata da un server esterno. Per un advertiser, questo non è un problema da sistemisti: è un rischio che incide sul ritorno sulla spesa pubblicitaria (ROAS, return on ad spend), perché un accesso amministrativo può alterare pagine di atterraggio, tracking delle conversioni e contenuti senza lasciare tracce visibili.

Chi gestisce campagne deve quindi integrare la revisione dei plugin nel calcolo del rischio e del costo reale di un sito. Il plugin “gratuito” non è gratuito se, in cambio di funzioni SEO o form, cede una chiave amministrativa permanente verso un server terzo. Andrebbe verificato, prima di collegare un sito a un account esterno, quali permessi vengono generati e se esiste un modo per revocarli. La risposta di Rank Math, al momento, è che il “Support Agent” non si può spegnere.

Chi gestisce campagne non può più considerare i plugin come una componente neutra: la sicurezza di WordPress è una voce del ritorno sulla spesa. Un accesso amministrativo non revocabile, nascosto in un aggiornamento di routine, è un costo che nessun budget può permettersi di ignorare.