Come faccio a sapere se un plugin è nel repository ufficiale?

Prova a raggiungere wordpress.org/plugins/ seguito dal nome esatto della cartella. Se la pagina non esiste, il plugin non viene dal repository pubblico. Non è una prova automatica di malware, perché i plugin commerciali non sono nel repository, ma è il punto da cui partire.

Il file è vuoto, quindi è già stato ripulito?

Un file svuotato ma ancora servito indica che un antivirus lo ha neutralizzato senza rimuoverlo. Il malware non è più eseguibile, ma la vulnerabilità che lo ha fatto entrare non è stata toccata: nel corpus di WPsec.it questi siti sono classificati come compromessi con la superficie di ingresso ancora aperta.

CriticoDoorway e finti plugin

Finti plugin di cache: la cartella che non esiste nel repository

I finti plugin sono la famiglia più frequente nel corpus di misura di WPsec.it: nelle rilevazioni raccolte nell'agosto 2026 su 22 server e 5.127 domini, backdoor, dropper e finti plugin dominano nettamente le famiglie osservate. Il controllo decisivo è semplice: se il nome della cartella non esiste nel repository ufficiale di WordPress e non corrisponde a un plugin commerciale che hai acquistato, quel plugin non ha ragione di essere sul sito.

Famiglia: Finto plugin (php.bkdr.fakeplugin.wp) · Aggiornato il 30 agosto 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

wp-file-cacher
wp-file-cacher.php

Dove si trova

In wp-content/plugins/, con un nome che ricorda un plugin di cache, di sicurezza o di ottimizzazione
Con un solo file PHP dentro, spesso senza readme.txt e senza cartella languages
Talvolta servito pubblicamente con risposta HTTP 200 anche quando il file sul disco è vuoto

Cosa fa

Si presenta come un plugin qualsiasi, quindi supera l'ispezione visiva della dashboard.
Ospita il codice di controllo dell'attaccante in una posizione che nessuno controlla, perché wp-content/plugins/ contiene decine di cartelle legittime.
Sopravvive agli aggiornamenti di WordPress, che non toccano i plugin di terze parti.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Elenca i plugin che WordPress non riconosce come pubblici
```
wp plugin list --fields=name,status,version,update
```

Cerca cartelle di plugin senza readme.txt

for d in wp-content/plugins/*/; do [ -f "$d/readme.txt" ] || echo "senza readme: $d"; done

Verifica dall'esterno se il file è servito

curl -s -o /dev/null -w '%{http_code} %{size_download}\n' https://ESEMPIO.it/wp-content/plugins/wp-file-cacher/wp-file-cacher.php

Cosa non basta fare

Fidarsi del fatto che il plugin appaia normale nella dashboard: l'intestazione la scrive chi ha creato il file.
Cercarlo solo fra i plugin attivi: un finto plugin può restare disattivato e comunque essere raggiungibile via URL diretto.

Cosa fare

Cerca il nome esatto della cartella su wordpress.org: se non esiste e non è un plugin commerciale che hai comprato, trattalo come ostile.
Confronta la data di creazione della cartella con la cronologia del sito: un plugin comparso in una data in cui nessuno ha lavorato al sito è sospetto.
Prima di cancellare, conserva una copia: contiene le informazioni su come è arrivato.