Plugin rimosso dalla directory dei plugin di WordPress.org: cosa significa?

Vuoi installare un plugin collaudato su un nuovo sito, ma la ricerca nella bacheca non lo trova più. Su WordPress.org, al posto del pulsante per scaricarlo, c'è solo un breve avviso: “This plugin has been closed”. Sugli altri tuoi siti, invece, lo stesso plugin funziona normalmente. Cos'è successo? Il plugin è stato rimosso dalla directory ufficiale dei plugin. Può essere una cosa innocua. Ma può anche voler dire che sul tuo sito c'è in questo momento una falla di sicurezza aperta che nessuno chiuderà più. Qui scopri cosa c'è dietro una chiusura del genere, come valutare il rischio e quali passi conviene fare adesso.

Cosa significa se un plugin è stato rimosso da WordPress.org?

A rigore, WordPress.org non elimina un plugin, lo chiude. Sulla pagina del plugin compare allora una frase come “This plugin has been closed as of June 24, 2024 and is not available for download.” Per te che gestisci il sito, questo ha conseguenze molto concrete:

• Il plugin non si può più scaricare da WordPress.org né installare dalla bacheca.
• Finché resta chiuso, WordPress.org non distribuisce nuove versioni. Quindi non arrivano più aggiornamenti, nemmeno quelli di sicurezza.
• Le copie già installate restano come sono. WordPress non disattiva nulla e non elimina nulla, il plugin continua semplicemente a funzionare.
• Il codice sorgente resta consultabile pubblicamente nell'SVN Repository di WordPress.org.

Il punto più insidioso è il terzo. Dato che sul tuo sito tutto sembra normale, di solito non ti accorgi nemmeno della chiusura. Nella bacheca WordPress non mostra alcun avviso al riguardo. Un ticket che punta a cambiare proprio questo giace nel WordPress Trac dal 2014. Nel frattempo è stato respinto e poi, nel 2023, riaperto. Del resto, come avvisare gli utenti senza seminare panico inutile non è una domanda a cui sia facile rispondere.

Inoltre non confondere un plugin rimosso con uno obsoleto. Un plugin che non riceve aggiornamenti da anni spesso è ancora presente nella directory come se niente fosse. WordPress.org si limita a segnalare che non è stato testato con le ultime tre versioni principali di WordPress. Un plugin chiuso, invece, è stato ritirato del tutto dalla circolazione.

Perché i plugin vengono rimossi da WordPress.org? I cinque motivi ufficiali

A vigilare sulla directory dei plugin è il Plugins Team di WordPress.org. Il team non chiude i plugin per capriccio, ma per uno dei cinque motivi stabiliti nella documentazione ufficiale per sviluppatori. Sono proprio questi i motivi che poi compaiono anche sulla pagina del plugin:

• Security Issue (problema di sicurezza): nel plugin c'è una vulnerabilità confermata. Salvo poche eccezioni, in questo caso il team chiude il plugin immediatamente. Secondo il manuale del team, non è previsto alcun periodo di grazia del tipo “sistemalo entro sette giorni o sei fuori”.
• Guideline Violation (violazione delle linee guida): il plugin non rispetta le regole della directory. Casi tipici sono il tracciamento senza consenso, il codice reso volutamente illeggibile o i link allo sviluppatore che compaiono sul tuo sito senza che tu li abbia chiesti.
• Licensing/Trademark Violation (licenza o marchio): il plugin contiene codice non compatibile con la GPL, oppure il suo nome sfrutta un marchio altrui.
• Author Request (richiesta dell'autore): lo sviluppatore ha chiuso il plugin di sua iniziativa. A volte gli manca semplicemente il tempo, a volte il plugin esiste ormai solo in versione a pagamento sul suo sito.
• Merged Into Core (integrato in WordPress): la funzione ormai fa parte direttamente di WordPress. Riguarda quasi esclusivamente i cosiddetti feature plugin, in cui vengono sperimentate nuove funzioni prima che arrivino in WordPress.

Tra l'altro, molti problemi di sicurezza non li scopre il Plugins Team da solo. Spesso sono i ricercatori di sicurezza a segnalargli una falla, per esempio quando lo sviluppatore ignora i loro avvisi.

Perché il motivo della chiusura viene mostrato solo dopo 60 giorni?

Subito dopo la chiusura, sulla pagina del plugin vedi solo la data. WordPress.org aggiunge il motivo soltanto 60 giorni dopo, e anche allora solo come categoria generica dell'elenco qui sopra. Cosa sia successo di preciso viene comunicato solo agli sviluppatori con i permessi di scrittura sul plugin e al team di sicurezza. I dettagli diventano pubblici solo in casi eccezionali.

A prima vista sembra poco trasparente, ma ha una sua logica. Se il giorno stesso della chiusura sulla pagina comparisse “Security Issue”, gli aggressori saprebbero subito dove cercare, mentre migliaia di siti usano ancora il plugin senza alcuna protezione. Questo periodo di attesa dà allo sviluppatore la possibilità di correggere la falla prima che la notizia si diffonda.

Leggi anche la frase sotto l'avviso. “This closure is temporary, pending a full review” significa che la chiusura è provvisoria e che il plugin è in fase di verifica approfondita. “This closure is permanent” vuol dire che la chiusura è pensata per essere definitiva. Per KingComposer, un page builder molto diffuso in passato, la pagina riporta per esempio “Reason: Security Issue” dal febbraio 2022.

Un plugin rimosso da WordPress.org è pericoloso?

La risposta onesta è: dipende. Una chiusura, da sola, non dimostra ancora che ci sia una vulnerabilità. Se lo sviluppatore ha semplicemente abbandonato il suo plugin, magari funzionerà senza problemi ancora per anni.

Detto questo, dovresti considerare ogni plugin rimosso un campanello d'allarme da prendere sul serio:

• All'inizio non conosci il motivo. Nei primi 60 giorni dietro la chiusura può esserci una falla critica oppure un innocuo errore formale. Dall'esterno non puoi capire la differenza.
• Gli aggiornamenti di sicurezza non arrivano più. Se una falla diventa pubblica, resta aperta. Proprio per questo i plugin chiusi interessano agli aggressori: sanno che molti siti continueranno a usarli a lungo.
• La compatibilità si sgretola. A ogni nuova versione di WordPress e PHP aumenta il rischio che il plugin generi errori o, nel peggiore dei casi, metta fuori uso il tuo sito.

Quanto in fretta una chiusura possa diventare un problema serio lo ha dimostrato il giugno 2024. Con password provenienti da vecchie fughe di dati, alcuni aggressori erano riusciti ad accedere ad account di sviluppatori su WordPress.org e avevano inserito una backdoor in diversi plugin, come riportava all'epoca Wordfence. Tra i plugin colpiti c'erano Social Warfare e Blaze Widget. Social Warfare ha ricevuto in fretta una versione ripulita. Blaze Widget, invece, è chiuso in modo permanente dal 24 giugno 2024, motivo: Security Issue. Chi aveva installato la versione manomessa non notava nulla nella bacheca.

Plugin rimosso da WordPress.org: cosa fare adesso?

Non c'è motivo di farsi prendere dal panico. Però non dovresti nemmeno rimandare la questione. Ecco come conviene procedere:

1. Leggi l'avviso sulla pagina del plugin. La trovi all'indirizzo wordpress.org/plugins/ seguito dallo slug del plugin. Lo slug è il nome della sua cartella in wp-content/plugins. Fai attenzione alla data, all'indicazione temporary o permanent e, trascorsi i 60 giorni, al motivo.
2. Verifica se è nota una vulnerabilità. Cerca il plugin in uno dei grandi database di vulnerabilità, per esempio Wordfence Intelligence, Patchstack o WPScan. Se lì è registrata una falla per la versione che hai installato, la questione è chiara: disattiva subito il plugin. Se il tuo sito ne dipende, ti serve in fretta una soluzione temporanea (ne parliamo tra poco).
3. Controlla se lo sviluppatore porta avanti il progetto. Alcuni plugin si limitano a traslocare, per esempio su GitHub o in uno shop dello sviluppatore, oppure sono ormai disponibili solo a pagamento. Di solito basta un'occhiata al suo sito per fare chiarezza. Gli aggiornamenti però non arrivano più automaticamente tramite WordPress.org, ma attraverso il canale indicato dallo sviluppatore.
4. Chiediti onestamente se il plugin ti serve ancora. Soprattutto sui siti più vecchi si trovano spesso plugin installati a suo tempo per un unico scopo e poi dimenticati. Se non ricordi più a cosa serve, disattivalo in un ambiente di test e guarda se manca qualcosa.
5. Cerca un'alternativa ancora supportata. Contano la data dell'ultimo aggiornamento, il numero di installazioni attive, l'ultima versione di WordPress con cui è stato testato e se nel forum di supporto qualcuno risponde davvero. Un plugin con un'ampia base di utenti e un team attivo è di solito una scelta più sicura di una soluzione di nicchia portata avanti da una sola persona nel tempo libero.
6. Sostituisci il plugin con cura. Prima fai un backup, prova il passaggio in un ambiente di test e trasferisci impostazioni e contenuti. Pensa anche agli shortcode: dopo l'eliminazione resterebbero sulle tue pagine come semplice testo. Alla fine elimina completamente il vecchio plugin. Disattivarlo non è sufficiente: con alcune falle, agli aggressori basta che i file siano ancora sul server e richiamabili direttamente.

E se non puoi sostituire subito il plugin? Allora almeno proteggilo. Un Web Application Firewall, per esempio quello di Wordfence, di Patchstack o del tuo provider di hosting, può bloccare gli attacchi noti al plugin finché il passaggio non è concluso. Le agenzie con sviluppatori interni hanno anche un'altra possibilità: i plugin su WordPress.org sono distribuiti con licenza GPL o con una licenza compatibile. Puoi quindi prendere il codice e portarlo avanti tu stesso. In quel caso, però, gli aggiornamenti di sicurezza sono interamente sotto la tua responsabilità.

Trovi altri consigli sulla manutenzione costante dei tuoi plugin nella nostra guida Come mantenere i plugin WordPress aggiornati e sicuri.

Come scoprire se un plugin installato è stato chiuso?

Farlo a mano è faticoso. Dovresti aprire la pagina corrispondente su WordPress.org per ogni singolo plugin. Con cinque plugin si può ancora fare, con 30 plugin su diversi siti di clienti molto meno.

Si fa prima con la Plugin API di WordPress.org. Per un plugin chiuso, invece dei soliti dati restituisce un messaggio di errore con il valore closed:

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Sostituisci SLUG con il nome della cartella del plugin. Se nella risposta compare "closed":true, il plugin è chiuso. Lì trovi anche la data della chiusura e, una volta pubblicato, il motivo. L'opzione -g fa sì che curl non scambi le parentesi quadre nell'indirizzo per segnaposto.

Se usi Wordfence: anche la sua scansione confronta i tuoi plugin con WordPress.org e segnala i plugin rimossi come problema critico. Non viene eliminato nulla, la decisione resta a te.

Per evitarti spaventi inutili: non tutti i plugin che non trovi su WordPress.org sono stati rimossi. I plugin premium come WP Rocket o Gravity Forms non ci sono mai stati. Ricevono gli aggiornamenti direttamente dal produttore.

Come InspectWP rileva i plugin rimossi sul tuo sito

InspectWP fa questo controllo al posto tuo. Il report individua i plugin del tuo sito dalle tracce che lasciano nel codice sorgente e confronta ognuno di essi con WordPress.org. Se un plugin è chiuso, lo vedi direttamente sulla sua scheda, e il controllo dei plugin rimossi diventa rosso. Se in seguito WordPress.org rende di nuovo disponibile il plugin, la segnalazione sparisce con il report successivo. I plugin che non ricevono aggiornamenti da oltre un anno vengono segnalati a parte come obsoleti. I plugin premium che non sono mai stati nella directory non vengono considerati rimossi.

Nei piani Premium e Agency vedi anche le versioni installate e le vulnerabilità note dei tuoi plugin. Con l'InspectWP WordPress Connector, InspectWP rileva inoltre tutti i plugin installati, anche quelli che nel frontend non lasciano tracce. Nel PDF di audit per i tuoi clienti, un plugin rimosso compare come punto urgente con una raccomandazione chiara. Dato che un plugin oggi ancora supportato può essere chiuso il mese prossimo, conviene attivare i report automatici: InspectWP controlla così i tuoi progetti a intervalli regolari e, se vuoi, ti avvisa. Un report gratuito ti mostra in poco tempo se sul tuo sito è attivo in questo momento un plugin rimosso.