La lenta svolta lontano da WordPress
WordPress fa ancora girare quattro siti su dieci. La sua quota sta scendendo, i plugin portano la maggior parte del rischio e la disputa al suo centro si avvia verso il processo.
WordPress è uno dei grandi successi dell’open source. È nato come strumento per blog ed è cresciuto fino a diventare il software dietro una larga parte del web, libero da usare, libero da modificare, con un ecosistema di temi, plugin e hosting che permette a quasi chiunque di pubblicare.
Come agenzia abbiamo costruito e curato siti WordPress per anni, e molti ottimi siti girano ancora su di esso. Questo non è un necrologio. Ma tre cose sono cambiate insieme, e un’azienda che gestisce il proprio sito su WordPress dovrebbe conoscerle tutte e tre: la quota ha invertito la rotta, il rischio sta nei plugin, e la guida del progetto da due anni è impegnata in una controversia che ora va davanti a una giuria.
La quota ha invertito la rotta
W3Techs, che monitora la tecnologia dietro i siti web, mostra WordPress in salita per gran parte di un decennio: dal 23,3 per cento di tutti i siti web all’inizio del 2015 al 43,2 per cento all’inizio del 2022. Poi si è appiattito. Era al 43,6 per cento a gennaio 2025 e al 43,0 per cento a gennaio 2026. Il 12 ottobre 2026 la cifra era del 40,1 per cento.
Resta comunque più di tutti gli altri sistemi di gestione dei contenuti messi insieme, e il 58,6 per cento dei siti di cui W3Techs riesce a identificare il sistema. Ma la direzione è nuova. Nello stesso periodo Shopify è passato dal 4,7 al 5,4 per cento di tutti i siti web e Wix dal 3,3 al 4,2 per cento, mentre Joomla e Drupal hanno continuato a ridursi. Conteggi come questi dipendono dal metodo, quindi la direzione conta più del decimale.
Il rischio sta nei plugin
Il nucleo di WordPress è in buona forma. Patchstack, un’azienda di sicurezza che monitora l’ecosistema, ha contato appena sei vulnerabilità nel core di WordPress nel 2025, tutte a bassa priorità.
L’ecosistema attorno è un’altra storia. Patchstack ha contato 11'334 nuove vulnerabilità in tutto WordPress nel 2025, il 42 per cento in più rispetto al 2024. Il 91 per cento era nei plugin e il 9 per cento nei temi. Per il 46 per cento di esse lo sviluppatore non aveva una correzione pronta quando la falla è stata resa pubblica. E per le falle su cui gli aggressori si sono accaniti di più, il tempo mediano dalla divulgazione allo sfruttamento di massa è stato di cinque ore.
Patchstack vende protezione proprio contro questo, quindi la sua impostazione merita la cautela di sempre. Lo schema, però, è strutturale. Il sito di un’azienda spesso gira con molti plugin di molti autori, ciascuno con il proprio ritmo di aggiornamento, la propria qualità e il proprio modello di business. Ognuno di essi è codice sul server pubblico. Tenerli aggiornati è un lavoro settimanale, e le settimane in cui lo si salta sono quelle che contano.
Due anni di turbolenze
A settembre 2024, alla conferenza WordCamp US, Matt Mullenweg, amministratore delegato di Automattic e figura di spicco del progetto WordPress, ha esortato la comunità a smettere di pagare WP Engine, uno dei più grandi host WordPress. In un post successivo ha definito l’azienda un «cancro» per WordPress. Mullenweg aveva chiesto una royalty per l’uso del marchio WordPress: l’8 per cento del fatturato lordo mensile di WP Engine.
Il 25 settembre WordPress.org ha escluso WP Engine dalle proprie risorse, interrompendo gli aggiornamenti di plugin e temi per alcuni dei siti da essa ospitati. A ottobre WP Engine ha citato in giudizio Automattic e Mullenweg, e WordPress.org ha assunto il controllo di Advanced Custom Fields, un popolare plugin gestito da WP Engine. A dicembre un giudice federale ha concesso un’ingiunzione preliminare che ha ripristinato l’accesso di WP Engine e il plugin.
Ciò che è seguito ha danneggiato il progetto più dell’host. A gennaio 2025 Automattic ha ridotto il proprio contributo promesso a WordPress a circa 45 ore settimanali, da circa 2'560, per destinare risorse alla battaglia legale. Ad aprile ha licenziato il 16 per cento del personale, e WordPress ha dichiarato che la 6.8 sarebbe stata l’ultima versione maggiore del 2025. A fine maggio Automattic ha fatto marcia indietro ed è tornata al core. A giugno la Linux Foundation ha lanciato FAIR, un repository federato per plugin e temi, progettato in modo che nessuna singola fonte controlli gli aggiornamenti.
Il caso è tutt’altro che chiuso. Il 24 settembre 2026 la giudice ha riportato in vita le rivendicazioni antitrust di WP Engine, che aveva respinto un anno prima, e ha stabilito che Automattic e Mullenweg non sono né proprietari né titolari registrati dei marchi WordPress che avevano rivendicato. Anche la maggior parte delle domande riconvenzionali di Automattic sopravvive. Un processo con giuria di dieci giorni è fissato per ottobre 2027.
Che cosa significa per un’azienda su WordPress
Niente di tutto questo rende da un giorno all’altro insicuro un sito WordPress. Un’installazione ben curata, con pochi plugin, un buon host e una persona indicata per nome responsabile degli aggiornamenti può servire un’azienda per anni. Per un blog, un piccolo sito vetrina o un team che conosce bene la piattaforma, restare è spesso la scelta sensata.
Ciò che gli ultimi due anni hanno mostrato è la dipendenza. Gli aggiornamenti di un sito, i suoi plugin e la fiducia nella sua catena di fornitura passano tutti da un unico repository, e per un periodo le decisioni su quel repository sono state prese dentro una disputa commerciale. Aggiungete un ecosistema in cui quasi la metà delle nuove falle è pubblica prima di essere corretta, e la domanda non è più se WordPress funzioni. È quanta parte del sito web un’azienda voglia far poggiare su componenti che non controlla.
Siti compilati, con un CMS sopra
Per questo più aziende passano ai siti compilati: un sito web compilato dal codice in pagine veloci, con un sistema di gestione dei contenuti sopra, per chi lo modifica. Il sito pubblico allora non ha plugin né login di amministrazione da attaccare. Ogni modifica passa da una build che viene testata prima di andare online. I contenuti vivono in file di proprietà dell’azienda, non in un database modellato da un fornitore.
Il compromesso è reale. Un sito compilato richiede sviluppatori per le nuove funzioni, mentre WordPress ha un plugin per quasi tutto. E la modifica dei contenuti va costruita bene, altrimenti il team marketing rimpiangerà il vecchio pannello di amministrazione nel giro di una settimana.
È il problema per cui è stato creato Studio. Il suo nucleo è un CMS sopra siti costruiti in Next.js, Vite o TanStack, senza plugin e senza PHP sul sito pubblico. Ogni pubblicazione viene controllata, compilata una volta, testata, messa online, verificata e, se qualcosa fallisce, riportata da sola alla versione precedente, e a ogni pubblicazione i contenuti vengono salvati nel repository dell’azienda. Chi modifica clicca su una parola per cambiarla e vede la pagina live. Studio è in accesso anticipato.
Le macchine possono farsi carico delle build, dei test e dei rollback. Ciò che dice una pagina, e se è abbastanza buona per uscire, resta alle persone che ne rispondono.
Da dove cominciare
Contate i vostri plugin e annotate chi si occupa di ciascuno, quando è stato aggiornato l’ultima volta e che cosa fa. Rimuovete ciò di cui nessuno ha bisogno. Assicuratevi che ogni plugin, anche quelli a pagamento, riceva i suoi aggiornamenti e che una persona indicata per nome li controlli ogni settimana. Esportate una volta i vostri contenuti e verificate se potreste spostarli, se dovesse servire.
Poi decidete con cognizione di causa. Tenete WordPress dove vi serve, con meno componenti e un responsabile chiaro. Dove il sito web è centrale per l’attività, un sito compilato con un CMS sopra merita una conversazione.
