Temi e plugin nulled: perché sono una porta d’ingresso per gli hacker

Un plugin premium da qualche decina di euro l’anno trovato “gratis” su un sito di download sembra un affare. Il problema è che i temi e plugin nulled, cioè privati del controllo di licenza e ridistribuiti da terzi, sono una delle strade più comode che un malintenzionato ha per entrare in un sito WordPress: non deve forzare nulla, perché è il proprietario stesso a installare il codice e ad attivarlo.

Cosa sono i temi e plugin nulled?

Un tema o plugin nulled è una copia di un prodotto a pagamento da cui qualcuno ha rimosso o aggirato la verifica della licenza, per poi pubblicarla su siti di download, forum o canali Telegram. Chi la installa ottiene le funzioni premium senza pagare, ma riceve un file modificato da una persona sconosciuta.

Il termine viene dall’inglese “to nullify”, annullare: si annulla la parte di codice che controlla la chiave di attivazione. Chi è in grado di togliere il controllo di licenza è anche in grado di aggiungere qualsiasi altra cosa, e nel pannello di WordPress il plugin appare identico all’originale.

Ma il codice di WordPress non è libero?

WordPress è distribuito con licenza GPL, e anche molti temi e plugin premium lo sono, almeno per la parte PHP. Questo però non rende sicura una copia scaricata da uno sconosciuto. La licenza riguarda cosa puoi fare con il codice; non dice nulla su cosa qualcuno abbia aggiunto a quel codice prima di ridarlo a te. Inoltre il nome, il marchio, spesso le immagini e alcune librerie incluse seguono regole diverse, e soprattutto la copia non ti dà accesso agli aggiornamenti e al supporto dello sviluppatore, che sono il motivo principale per cui si paga una licenza.

Perché i nulled sono così pericolosi per la sicurezza?

Sono pericolosi perché fanno girare sul tuo server codice modificato da terzi con gli stessi permessi di WordPress, e perché restano fermi alla versione che hai scaricato.

Codice nascosto: la backdoor

Una backdoor è un pezzo di codice che permette di rientrare nel sito anche dopo che hai cambiato le password. Nei pacchetti nulled può essere nascosta in un file con un nome dall’aria innocua, in mezzo a centinaia di righe offuscate (codice reso volutamente illeggibile, spesso con funzioni come base64_decode, gzinflate o eval). Da quel momento chi l’ha inserita può caricare file, creare utenti amministratori o modificare pagine quando vuole.

Cosa succede dopo, di solito

Una volta ottenuto l’accesso, gli usi più comuni sono quelli che vediamo in tutte le compromissioni di WordPress:

• pagine o link di spam inseriti nel sito per sfruttarne la reputazione su Google;
• reindirizzamenti verso siti di spam o truffe, magari solo per chi arriva dai motori di ricerca o da smartphone;
• script che attaccano i visitatori, come i finti controlli “non sono un robot” che chiedono di incollare comandi;
• furto dei dati presenti nel database: utenti, email, ordini;
• uso del server per inviare spam, con il rischio che l’hosting sospenda l’account.

Spesso il codice resta silenzioso per settimane, e quando arriva l’avviso di Google è difficile ricollegarlo a quel plugin installato mesi prima.

Niente aggiornamenti, quindi vulnerabilità che restano aperte

Anche ammesso che il file sia pulito, un plugin nulled non si aggiorna dal pannello, perché gli aggiornamenti dei prodotti premium passano per la chiave di licenza. Quando lo sviluppatore corregge una falla, il tuo sito resta con la versione vulnerabile. Le falle dei plugin più diffusi vengono pubblicate e sfruttate in modo automatico. E se per aggiornarlo scarichi di nuovo la versione più recente dallo stesso sito, rimetti in gioco il primo problema.

Che differenza c’è tra plugin originale, gratuito e nulled?

La differenza sta in chi garantisce il codice e in chi lo tiene aggiornato. Questa tabella riassume le tre situazioni più comuni.

I plugin della directory ufficiale di WordPress non sono immuni da vulnerabilità, ma arrivano senza intermediari e si aggiornano dal pannello.

Come capire se sul tuo sito c’è un tema o plugin nulled?

Il modo più rapido è chiedersi da dove arriva ogni prodotto premium installato e se esiste una licenza a tuo nome.

1. Fai l’inventario. In Plugin e in Aspetto > Temi annota tutti i prodotti a pagamento (page builder, temi premium, plugin di moduli, SEO, WooCommerce avanzato).
2. Cerca la licenza. Per ciascuno verifica se nella sua pagina di impostazioni c’è una chiave attiva e se hai l’email o la fattura di acquisto. Se nessuno sa chi l’ha comprato, trattalo come sospetto.
3. Guarda gli aggiornamenti. Un prodotto premium fermo da molto tempo, con avvisi di licenza non valida o con aggiornamenti che “non arrivano mai”, è un segnale.
4. Controlla gli utenti. In Utenti filtra per ruolo Amministratore: account che nessuno riconosce sono un campanello d’allarme serio.
5. Fai una scansione. Un plugin di sicurezza con scansione dei file può segnalare codice offuscato o file che non corrispondono all’originale. Se non sai quale usare, trovi un confronto nella guida ai plugin di sicurezza per WordPress.

Una scansione pulita non è una garanzia: se un prodotto è nulled, va sostituito comunque. Per i sintomi tipici vedi anche la guida su come capire se un sito WordPress è stato hackerato.

Cosa fare se scopri di avere un nulled installato?

Devi sostituirlo con una copia originale e controllare che non abbia già lasciato tracce altrove nel sito. Aggiornare sopra la versione nulled non basta, perché eventuali file aggiunti restano.

1. Fai un backup completo di file e database prima di toccare qualsiasi cosa, così puoi tornare indietro se qualcosa si rompe. Se non hai un sistema affidabile, parti dalla guida ai backup di WordPress.
2. Acquista la licenza dal sito dello sviluppatore, oppure scegli un’alternativa gratuita dalla directory ufficiale.
3. Elimina completamente la cartella del plugin o del tema nulled e carica quella originale appena scaricata.
4. Controlla il resto del sito: utenti amministratori, file PHP nella cartella wp-content/uploads (dove non dovrebbero essercene), plugin sconosciuti, modifiche recenti a functions.php e .htaccess.
5. Cambia tutte le password: amministratori di WordPress, hosting, FTP e database. Rigenera anche le chiavi di sicurezza in wp-config.php, così le sessioni aperte vengono chiuse.

Se trovi segni di compromissione (utenti sconosciuti, file offuscati, redirect, avvisi di Google) non fermarti alla sostituzione: segui la procedura completa descritta in cosa fare se il sito WordPress è stato hackerato. In quel caso conviene coinvolgere un tecnico, perché una backdoor dimenticata vanifica tutto il lavoro.

Come risparmiare senza ricorrere ai nulled?

Per risparmiare conviene scegliere meno plugin, e meglio, pagando la licenza solo di quelli che servono davvero.

• Verifica le versioni gratuite. Molti prodotti premium hanno una versione base nella directory ufficiale che copre ciò che ti serve.
• Elimina i doppioni. Due plugin che fanno la stessa cosa sono doppio costo e doppia superficie di attacco.
• Diffida delle copie a pochi euro. Anche i siti che rivendono plugin premium “GPL” a prezzo stracciato non ti danno la licenza ufficiale né gli aggiornamenti dallo sviluppatore: dipendi da quanto e come quel rivenditore aggiorna i file.

Nella gestione dei siti che seguiamo in Dottor WP ogni prodotto premium ha una licenza intestata al cliente, così gli aggiornamenti arrivano e il sito resta suo anche se un giorno cambia fornitore.

Domande frequenti

Un plugin nulled contiene sempre un virus?

Non sempre, ma non puoi saperlo con certezza. Il file è stato modificato da qualcuno che non conosci e anche un pacchetto pulito resta senza aggiornamenti di sicurezza, quindi il rischio c’è comunque.

Se il plugin nulled funziona da mesi senza problemi, sono al sicuro?

No. Il codice malevolo spesso resta inattivo o agisce solo in certe condizioni, per esempio solo per i visitatori che arrivano da Google. Inoltre ogni mese senza aggiornamenti aumenta il numero di vulnerabilità note non corrette.

Basta aggiornare il plugin alla versione originale per risolvere?

Non basta sovrascriverlo. Va eliminata del tutto la cartella nulled, caricata la versione originale e controllato il resto del sito, perché eventuali backdoor possono essere state copiate in altri file o nel database.

Usare un tema nulled è illegale?

Dipende dalla licenza del prodotto e da cosa viene ridistribuito, e per un parere legale serve un professionista. Dal punto di vista tecnico, però, la risposta è la stessa in ogni caso: non ricevi aggiornamenti né supporto e installi codice di provenienza ignota.