Performance5 agosto 20266 min di letturaTeam WPsec.it

Il tuo sito è lento perché è infetto: il malware come causa nascosta delle performance

Cache ottimizzata, immagini compresse, hosting cambiato, e il sito continua a rallentare. Una causa raramente considerata: il malware consuma risorse e degrada le performance prima ancora di mostrare sintomi visibili.

Esiste uno scenario che incontriamo regolarmente e che quasi nessuna guida sulle performance menziona: il sito ottimizzato per bene che rallenta lo stesso. Cache server-side attiva, immagini in formati moderni, hosting decente, database pulito. Eppure il TTFB oscilla, a volte esplode, e nessun intervento classico cambia nulla.

In una quota significativa di questi casi, l'analisi dei log rivela la causa: il sito è compromesso, e il malware sta pagando il suo affitto consumando le tue risorse.

I quattro modi in cui il malware rallenta il tuo sito

1. Script remoti sincroni su ogni pagina

Il pattern più frequente: l'attaccante inietta un <script> nel database o nei template che carica contenuto da un dominio esterno. Se lo script è inserito male, blocca il rendering o aggiunge centinaia di millisecondi su ogni visita. Il sintomo ingannevole: PageSpeed indica "risorse di terze parti lente", e tu passi settimane a cercare quale servizio legittimo sia il colpevole.

2. Invio di spam dalle tue risorse

Un mailer PHP installato dall'attaccante usa il tuo hosting per inviare migliaia di email. Conseguenze a cascata:

picchi di carico CPU proprio quando gli utenti navigano
coda email del server satura, con le tue transazioni commerciali (conferme ordine, recupero carrello) ritardate o perse
IP del hosting finito nelle blacklist email: la tua newsletter e le notifiche ordini finiscono nello spam anche dopo la pulizia

Questo secondo punto merita enfasi: il danno alla reputazione email sopravvive al malware che l'ha causata, e va gestito separatamente.

3. Cron e processi fantasma

I ricaricatori automatici descritti altrove sul blog lavorano di notte, ma non tutti: alcuni task malevoli girano nelle ore di traffico, competendo con i tuoi utenti per CPU e I/O del database. Il sintomo tipico è strano: il sito è lento a intervalli, e nessuna misurazione singola riesce a riprodurre il problema in modo stabile.

4. Scansione interna e movimento laterale

Nelle compromissioni più estese, l'attaccante usa il tuo spazio per scandire altri siti dello stesso server o per elaborare dati (proxy abuse, mining leggero). Su shared hosting questo consumo extra arriva fino al limite del piano: il sito va in throttle e le pagine si aprono in secondi, senza errori nei log applicativi.

C'è anche il caso opposto: sito pulito, ma TTFB alto lo stesso. Allora il collo di bottiglia è il server, non WordPress: worker PHP saturi, OPcache troppo piccola, MySQL senza indici o con buffer insufficiente, hosting condiviso al limite. Lì serve chi mette le mani sul server: la diagnosi e ottimizzazione lato server la fa managedvps.it, stessa squadra tecnica, senza cambiare hosting. Il sito resta seguito da noi.

Come distinguere la lentezza da malware dalla lentezza normale

Tre segnali differenziali che emergono nella diagnosi:

Segnale	Lentezza ordinaria	Lentezza da compromissione
Pattern temporale	Stabile, proporzionale al traffico	A raffica, indipendente dal traffico
Risorse terze	Servizi noti (analytics, font)	Domini sconosciuti, redirect catena
Log accessi	Traffico coerente con analytics	Picchi POST verso file PHP anomali
Effetto della cache	Migliora tutto	Alcune pagine restano lente comunque

L'ultima riga è quella decisiva in pratica: se alcune richieste restano lente anche servite dalla cache, qualcosa viene eseguito a monte o parallelamente alla normale generazione della pagina. La cache accelera WordPress; non accelera ciò che l'attaccante fa fuori dal flusso di rendering.

Il test da dieci minuti

Se il tuo sito è lento senza spiegazione, questa sequenza rapida esclude o conferma l'ipotesi compromissione:

Confronta il conteggio file PHP attuali con una copia nota pulita, o lancia wp core verify-checksums: file modificati = allerta rossa
Cerca nel codice domini esterni sconosciuti: grep -r "http" wp-content --include="*.php" | grep -v wpsec e ispeziona i risultati anomali
Controlla wp cron event list per task che non riconosci
Nei log, filtra le richieste POST verso path dentro uploads o con nomi casuali
Guarda le intestazioni delle pagine con curl: redirect verso domini terzi visibili solo con User-Agent mobile indicano il classico cloaking spam

Se almeno due di questi cinque controlli danno esito anomalo, smetti di ottimizzare e passa alla diagnosi di sicurezza: ottimizzare un sito infetto significa pagare elettricità per riscaldare la casa degli altri.

Perché questa causa resta nascosta così a lungo

La ragione è culturale più che tecnica: chi fa performance guarda Query Monitor, waterfall e database; chi fa sicurezza cerca file infetti e blacklist. I due mestieri usano strumenti diversi, e il malware vive esattamente nel punto cieco fra i due: consuma risorse (materia da sistemista) senza rompere nulla di visibile (materia da sviluppatore).

Solo una diagnosi che attraversa entrambi i livelli chiude il caso. Nelle nostre analisi performance la verifica di integrità è inclusa di serie, per questa precisa ragione: non ha senso consegnare un sito veloce che sta per reinfettarsi, né un sito pulito che resta lento.

Approfondimenti: la sequenza corretta di diagnosi delle performance, la lettura avanzata del TTFB, i Core Web Vitals sui dati reali e la pagina sulla rimozione malware WordPress se i controlli hanno dato esito positivo. Per il quadro completo su prezzi e garanzia: pricing.

Quanto velocemente un malware impatta le performance?

Dipende dalla famiglia: gli script di redirect aggiungono latenza immediatamente; i mailer e i miner impattano gradualmente man mano che l'attaccante intensifica l'uso. In diversi casi il degrado precede di settimane qualsiasi sintomo visibile.

Posso vedere gli script malevoli con DevTools del browser?

Parzialmente: script esterni da domini sconosciuti e redirect sono visibili nella scheda Network. Ma molte iniezioni sono condizionali (solo mobile, solo primo accesso, solo referrer specifico) e sfuggono alla verifica manuale. I log server restano la fonte completa.

La cache può nascondere un malware?

Sì ed è un problema doppio: la cache serve versioni infette già generate (rendendo persistente lo spam) mentre nasconde il comportamento dinamico del malware durante la diagnostica. Prima di analizzare, svuota ogni livello di cache; durante la bonifica, disabilitala.

Fatto l'hardening, il sito torna veloce subito?

La rimozione del carico malevole produce miglioramenti immediati e misurabili. La reputazione email e IP invece si recupera in giorni o settimane: pianifica il monitoraggio post-intervento anche su queste metriche, oltre ai tempi di risposta.

Pubblicato il 5 agosto 2026

Scritto dal team WPsec.it

Team WPsec.it

Bonifica malware, hardening, performance e manutenzione WordPress.

Prevenzione e gestione

Dopo l'emergenza, o per non arrivarci: le guide sulla gestione.

Sicurezza, velocità e manutenzione di WordPress sono lo stesso lavoro visto da tre lati. Queste pagine spiegano cosa controllare, con quale priorità e quanto costa farlo fare.

Continua a leggere