Assistenza Scuola
Soluzioni IT per Scuole

Vulnerabilità Tema WordPress Scuole: Avviso CSIRT

Vulnerabilità tema WordPress Scuole Italia, segnalata dal CSIRT Italia (Agenzia per la Cybersicurezza Nazionale). Le scuole che utilizzano versioni obsolete del tema devono verificare l’installazione, aggiornare all’ultima release disponibile e applicare misure di hardening per proteggere il sito istituzionale e i dati degli utenti.

Giugno 2026: comunicazione ufficiale CSIRT Italia alle istituzioni scolastiche

Diverse istituzioni scolastiche hanno ricevuto una PEC dal CSIRT Italia, l’organismo tecnico dell’Agenzia per la Cybersicurezza Nazionale (ACN), che segnala una Vulnerabilità Tema WordPress Scuole (design-scuole-wordpress-theme). La comunicazione, chiede ai gestori dei siti di verificare se l’installazione in uso rientri tra le versioni potenzialmente vulnerabili e di adottare le opportune azioni di mitigazione. La segnalazione non implica una compromissione già avvenuta: si tratta di un avviso preventivo, coerente con le procedure di responsible disclosure adottate dall’ACN per i siti della Pubblica Amministrazione.

Cosa significa la segnalazione del CSIRT sulla vulnerabilità tema WordPress scuole

La PEC del CSIRT Italia utilizza un linguaggio tecnico preciso: “si è venuti a conoscenza di una Vulnerabilità Tema WordPress Scuole con gravità critica per la quale non risulta assegnato alcun CVE identifier”. Questa formulazione indica che la vulnerabilità è nota alle autorità ma non ancora resa pubblica, per consentire ai gestori dei siti di intervenire prima che i dettagli tecnici vengano sfruttati da attori malevoli. È la procedura standard di responsible disclosure applicata ai sistemi della PA.

Il CSIRT ha probabilmente identificato i siti scolastici esposti tramite scansioni automatiche dei domini .edu.it, rilevando la versione del tema attraverso fingerprinting (file CSS/JS con versioning, struttura del tema, metadata WordPress). La frase “se il sito faccia verosimilmente uso di una versione vulnerabile” conferma che si tratta di un’identificazione indiretta basata sulla correlazione versione-rischio, non di una compromissione accertata.

Perché le versioni obsolete del tema espongono il sito a rischi concreti

Il tema “Design Scuole Italia” è sviluppato e mantenuto dal Dipartimento per la Trasformazione Digitale sul repository pubblico GitHub. Tra la versione 2.9.0 e l’attuale 2.18.2 sono state rilasciate decine di release intermedie, con correzioni che riguardano:

• Disabilitazione della modifica del profilo utente per garantire privacy e integrità dei dati (versione 2.17.0).
• Gestione dei ruoli e delle autorizzazioni degli utenti WordPress.
• Sanitizzazione degli input e protezione contro vulnerabilità di tipo XSS (Cross-Site Scripting).
• Aggiornamenti di compatibilità con le versioni più recenti di WordPress e PHP.
• Correzioni alla gestione dei REST endpoint e dei nonce di sicurezza.

Molte di queste correzioni non sono accompagnate da un CVE esplicito, ma rappresentano mitigazioni di sicurezza reali. Un sito che utilizza una versione molto arretrata del tema accumula tutte queste vulnerabilità irrisolte, aumentando significativamente la superficie di attacco.

I passaggi tecnici per la messa in sicurezza del sito scolastico

L’aggiornamento del tema “Design Scuole Italia” da una versione molto vecchia a quella attuale non è un’operazione banale. Molte scuole hanno nel tempo personalizzato direttamente il tema parent, senza utilizzare un child theme, oppure hanno installato plugin che potrebbero risultare incompatibili con le versioni più recenti. Un aggiornamento diretto in produzione, senza le dovute verifiche, rischia di compromettere il funzionamento del sito.

La procedura corretta prevede i seguenti passaggi:

1. Backup completo: Esecuzione di una copia di sicurezza integrale dei file del sito e del database prima di qualsiasi intervento. Il backup deve essere conservato in una posizione esterna al server.
2. Analisi dell’installazione: Verifica della versione del tema installata, dei plugin attivi, delle personalizzazioni presenti e dell’eventuale utilizzo di un child theme.
3. Allestimento ambiente di staging: Creazione di un ambiente di test separato, identico alla produzione, su cui eseguire l’aggiornamento e verificarne l’impatto prima di procedere sul sito reale.
4. Aggiornamento controllato: Installazione dell’ultima release stabile del tema (attualmente la 2.18.2) e verifica della compatibilità con tutti i plugin e le personalizzazioni presenti.
5. Hardening del CMS: Disabilitazione dell’editor file integrato in WordPress, limitazione o disabilitazione dell’XML-RPC, configurazione corretta dei permessi del filesystem e verifica degli account amministratori.
6. Scansione e verifica: Utilizzo di strumenti di sicurezza per rilevare eventuali anomalie preesistenti, file modificati o accessi sospetti.
7. Risposta alla PEC: Invio di una risposta formale al CSIRT che confermi la presa in carico, le verifiche effettuate e la disponibilità a ricevere le indicazioni di mitigazione specifiche.
8. Documentazione interna: Redazione di un verbale tecnico che riporti data della PEC, verifiche eseguite, versione installata e aggiornamento effettuato, a tutela dell’istituto in caso di future contestazioni.

Come Assistenza Scuola supporta le scuole

Assistenza Scuola s.r.l.s. gestisce i siti istituzionali di numerose scuole italiane e ha già avviato le verifiche tecniche sulle installazioni in proprio carico a seguito della segnalazione CSIRT. Per le scuole che necessitano di supporto esterno, il team tecnico è disponibile a intervenire con un piano di lavoro strutturato che copre tutte le fasi dell’adeguamento.

• Presa in carico tecnica della segnalazione CSIRT e redazione della risposta formale via PEC.
• Backup completo del sito e del database prima di qualsiasi intervento.
• Analisi dell’installazione WordPress: versione tema, plugin, personalizzazioni e configurazioni di sicurezza.
• Aggiornamento sicuro del tema “Design Scuole Italia” in ambiente di staging con verifica della compatibilità.
• Hardening del CMS: configurazione delle impostazioni di sicurezza, gestione dei permessi e degli accessi.
• Attivazione del servizio WebSecurity per il monitoraggio continuo delle vulnerabilità, la scansione automatica di malware e la protezione preventiva contro accessi non autorizzati.
• Pacchetto WebSecurity Plus: include la gestione degli obblighi normativi AGID, ovvero la Dichiarazione di Accessibilità (scadenza 23 settembre di ogni anno scolastico) e gli Obiettivi di Accessibilità (scadenza 31 marzo).
• Invio dei preventivi con codice MEPA tramite il gestionale aziendale, per consentire l’acquisto regolare sul Mercato Elettronico della Pubblica Amministrazione.

Vuoi saperne di più sulla Vulnerabilità Tema WordPress Scuole? Contattaci per una consulenza gratuita.

Richiedi Consulenza

Scadenze e procedure operative

La PEC del CSIRT non fissa una scadenza perentoria per l’adeguamento, ma la classificazione della Vulnerabilità Tema WordPress Scuole come “critica” richiede un intervento tempestivo. Ignorare la segnalazione espone l’istituto a responsabilità concrete in caso di incidente informatico o violazione dei dati personali, con possibili conseguenze ai sensi del GDPR (Regolamento UE 2016/679) e del Codice della Privacy (D.Lgs. 196/2003 e ss.mm.ii.).

Le scuole devono inoltre tenere presenti le scadenze annuali legate agli adempimenti AGID, che richiedono un sito istituzionale tecnicamente aggiornato e conforme:

• Dichiarazione di Accessibilità: da aggiornare entro il 23 settembre di ogni anno scolastico, come previsto dalla Legge Stanca (L. 9/2004) e dal D.Lgs. 106/2018.
• Obiettivi di Accessibilità: da pubblicare entro il 31 marzo di ogni anno, ai sensi della Circolare AgID n. 2/2015.

FAQ sulla Vulnerabilità Tema WordPress Scuole

Cosa devo rispondere alla PEC del CSIRT Italia?

La risposta formale deve confermare la ricezione della segnalazione, comunicare l’avvio delle verifiche tecniche sull’installazione WordPress e manifestare la disponibilità a ricevere le indicazioni di mitigazione specifiche. È opportuno evitare di fornire dettagli tecnici sull’installazione prima di aver completato l’analisi. Assistenza Scuola può predisporre il testo della risposta e gestire l’invio via PEC per conto dell’istituto.

L’aggiornamento del tema modificherà l’aspetto o le funzionalità del sito?

Se la versione installata è molto arretrata rispetto all’attuale 2.18.2, è probabile che l’aggiornamento introduca variazioni visive o funzionali, specialmente se in passato sono state apportate modifiche dirette al codice del tema senza utilizzare un child theme. Per questo motivo è indispensabile eseguire l’aggiornamento prima in un ambiente di staging, verificare il corretto funzionamento di tutte le sezioni e solo successivamente procedere in produzione.

Il servizio WebSecurity è acquistabile tramite MEPA?

Sì. I servizi di aggiornamento, messa in sicurezza e il pacchetto WebSecurity Plus (che include anche la gestione degli adempimenti AGID per l’accessibilità) sono acquistabili tramite il Mercato Elettronico della Pubblica Amministrazione. Assistenza Scuola invia i preventivi dettagliati con i codici MEPA corrispondenti direttamente via PEO attraverso il proprio gestionale, senza necessità di ulteriori richieste formali da parte della scuola.

Cosa succede se ignoro la segnalazione del CSIRT?

Ignorare una segnalazione ufficiale dell’Agenzia per la Cybersicurezza Nazionale espone l’istituto a responsabilità in caso di incidente informatico successivo. In caso di violazione dei dati personali (data breach), il GDPR prevede l’obbligo di notifica al Garante entro 72 ore e, in alcuni casi, sanzioni amministrative. La documentazione dell’intervento tecnico eseguito a seguito della PEC costituisce un elemento di tutela per il Dirigente Scolastico e il DPO dell’istituto.