Alternative a WordPress ispirate alle vulnerabilità PHP
Confronta se continuare con WordPress o passare a un sito statico o a un CMS gestito. Spiegheremo il WAF di Cloudflare, il modulo di richiesta e gli esempi di prezzi per uso generale e aziendale con illustrazioni.
Dopo aver sperimentato la risposta alle vulnerabilità di WordPress, alcune persone potrebbero chiedersi: "Possiamo continuare a operare con lo stesso sistema?" Anche se stai cercando una nuova destinazione, c'è molta terminologia tecnica e potrebbe essere difficile capire cosa cambierà.
Questo articolo spiega come continuare a utilizzare WordPress e come passare a un sistema diverso per le persone che gestiscono blog personali, siti di hobby e siti aziendali. Introdurremo anche misure di sicurezza, moduli di contatto e linee guida sui prezzi quando si utilizza Cloudflare.
Abbandonare WordPress non è la risposta per tutti i siti. Selezionando le "funzioni necessarie", "la persona che aggiorna" e la "persona responsabile della manutenzione", sarai in grado di trovare il metodo adatto a te.
Questo articolo è un confronto e una considerazione di progettazione basata su materiali ufficiali. Non presenta i risultati effettivi del lavoro di migrazione, della riproduzione degli attacchi o della riduzione dei costi.
Il problema questa volta è PHP, che è il fondamento di WordPress.
WordPress è un software per la pubblicazione e la gestione di articoli. Uno dei meccanismi che supporta questa operazione è PHP, che viene eseguito sul server.
Nell'ottobre 2026 sono state annunciate le seguenti gravi vulnerabilità in PHP. Una vulnerabilità è una debolezza del software che può essere sfruttata in un attacco.
- CVE-2026-109618:Quando l'elaborazione viene interrotta a causa di memoria insufficiente, la post-elaborazione gestisce i dati interni incompleti.
- CVE-2026-109619: un problema in cui le informazioni interne che puntano alla memoria che è stata utilizzata permangono e le richieste successive fanno riferimento alle vecchie informazioni.
Le condizioni possono consentire a soggetti esterni di eseguire codice arbitrario sul tuo server. Questo è un problema separato da WordPress stesso, quindi oltre ad aggiornare WordPress e i plugin, devi anche verificare la presenza di correzioni sul lato PHP.
Le versioni in cui è stata fornita per la prima volta la correzione sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Controlla le istruzioni della tua società di hosting o del fornitore del sistema operativo per il supporto effettivo. Oltre al numero di versione, è necessario verificare se il provider ha applicato eventuali correzioni.
Riferimento: IPA: attuali vulnerabilità e contromisure PHP / Funzionario PHP: problema di elaborazione OOM ／ Funzionario PHP: problema con il vecchio stato interno rimanente
Innanzitutto, controlla lo stato di compatibilità del servizio che stai utilizzando e applica le eventuali correzioni necessarie. Se si sospetta una violazione sono necessari anche indagini e recupero. Il semplice passaggio a un altro servizio non significa che l'infrazione esistente sia stata risolta.
Prima di cercare un'alternativa, organizza lo stile di scrittura dell'articolo e le funzionalità richieste
Ciò con cui vorrei iniziare il mio confronto è il modo in cui di solito aggiorno. Vuoi scrivere dal tuo smartphone o puoi modificare il file sul tuo computer? Hai bisogno di commenti, registrazione dell'iscrizione e funzioni di vendita? Le tue opzioni cambieranno di conseguenza.
Opzione 1: continuare con WordPress e rivedere la manutenzione
Se ritieni che la schermata di modifica corrente e le funzionalità siano comode da usare, hai la possibilità di continuare. I plugin sono componenti che aggiungono funzionalità. Decidi chi sarà responsabile dell'aggiornamento dell'unità principale, dei plugin, del tema e di PHP e della procedura per il ripristino dal backup.
Quando si affida la manutenzione a una società di manutenzione o a un servizio gestito, verificare l'ambito del lavoro, compreso se sarà in grado di gestire i problemi di plug-in e di ripristino.
Riferimento: guida ufficiale alla sicurezza di WordPress
Opzione 2: utilizza un CMS gestito o un servizio di creazione di siti
CMS è un sistema che ti consente di creare e gestire articoli da un browser. Se si tratta di un servizio gestito, potresti essere in grado di lasciare all'operatore la manutenzione dei server, ecc. L'ambito di responsabilità varia a seconda del servizio.
Oltre alla schermata di modifica, alla facilità d'uso in giapponese, alle funzioni necessarie e ai prezzi, controlleremo se è possibile esportare articoli e immagini e passare a un altro servizio. Non classificheremo qui servizi specifici in termini di sicurezza.
Opzione 3: rendilo un sito statico
Un sito statico è un metodo per distribuire pagine predefinite. Sono candidati i siti che pubblicano principalmente testo e immagini. D'altra parte, la schermata di registrazione deve essere preparata separatamente.
Esistono modi per modificare direttamente i file di pagina chiamati HTML, utilizzare strumenti che generano pagine da manoscritti e combinarli con un CMS per la modifica. Più compensi la facilità di aggiornamento, più meccanismi dovrai mantenere.
Cloudflare dispone di servizi per la distribuzione delle pagine e misure di sicurezza, ma la semplice selezione di Pagine o Risorse statiche Workers non fornisce una schermata di pubblicazione come WordPress. ``Come scrivere gli articoli'' e ``dove distribuire le pagine'' vengono considerati separatamente.
| Su cosa voglio concentrarmi | Direzione da considerare |
|---|---|
| Vuoi pubblicare facilmente sul tuo smartphone o browser? | CMS facile da usare con schermata di continuazione o modifica di WordPress |
| Desidero che più persone modifichino e approvino | CMS con funzioni di gestione e approvazione dei permessi |
| Principalmente testo e immagini, ma anche i file possono essere modificati. | HTML statico o strumento di generazione di pagine |
| È richiesta la cronologia di iscrizione/pagamento/acquisto | Valuta la possibilità di includere servizi dedicati ed elaborazione dinamica |
Riduci gli attacchi in anticipo con il WAF di Cloudflare
Cloudflare dispone di un WAF che ispeziona le comunicazioni sospette prima del sito. Svolge un ruolo simile alla sicurezza alla reception e può bloccare le comunicazioni che assomigliano ad attacchi noti e limitare l'accesso in base alla fonte o al numero di volte in cui vengono inviate.
La versione gratuita prevede regole per alcune minacce, mentre Pro e versioni successive dispongono di una gamma più ampia di regole gestite. Le regole gestite sono regole di giudizio preparate e aggiornate da Cloudflare. Le contromisure DDoS sono contromisure contro gli attacchi che rendono inutilizzabile un sito a causa di una grande quantità di traffico.
Sono state rese pubbliche anche le regole di protezione per questa vulnerabilità PHP. Esistono tuttavia condizioni applicative a seconda delle impostazioni e si tratta di una contromisura contro gli attacchi noti. Non è possibile concludere che se usi Cloudflare non è necessario aggiornare PHP.
Riferimento: Confronto delle funzionalità WAF / Contromisure e condizioni WAF per questa vulnerabilità PHP
Se il server originale si trova separatamente, sono necessarie anche misure per impedire di aggirare il WAF accedendo direttamente a quel server. Anche per i siti statici, prendi in considerazione problemi come il dirottamento degli account pubblici, problemi con servizi esterni e invio di moduli non richiesti.
Basta fare una richiesta e lasciare che sia Cloudflare a gestirla.
Ciò non significa che non sia possibile effettuare richieste su un sito statico. La pagina rimane statica ed è possibile aggiungere elaborazioni solo alla parte che accetta richieste.
Workers è un servizio che esegue piccoli programmi come la ricezione di moduli su Cloudflare. Turnstile è un meccanismo per ridurre l'invio da parte dei bot e il Servizio email è responsabile dell'invio di email di notifica.
L'invio di un'e-mail è gratuito se desideri solo notificare l'indirizzo di un amministratore verificato. Per rispondere automaticamente ai richiedenti, utilizzare Invio e-mail e Lavoratori pagati, che possono essere inviati a qualsiasi destinatario. L'invio di e-mail è in versione beta al momento della conferma delle informazioni.
Routing email è un servizio che inoltra le email indirizzate al tuo dominio alla tua casella di posta esistente. Non fornisce una casella di posta di per sé per leggere le e-mail. Inoltre, la notifica all'amministratore da un modulo e l'inoltro di email al tuo dominio sono funzioni separate.
Per evitare di perdere richieste, progettiamo anche una guida in caso di errore di trasmissione, la gestione delle ritrasmissioni e la conferma di ricezione. È inoltre importante non inserire troppe informazioni riservate in un modulo, ma decidere dove salvarle, chi può visualizzarle e per quanto tempo verranno conservate. Se disponi di un servizio di posta elettronica esistente, assicurati di non modificare accidentalmente le impostazioni DNS che determinano i destinatari.
Il tornello richiede JavaScript nel tuo browser. Ti forniremo metodi di contatto alternativi in modo che tu possa contattarci anche se la richiesta non è valida o la trasmissione fallisce. Il testo del sito e il sommario possono essere separati dal modulo e configurati per essere leggibili nel normale HTML.
Riferimento: Come convalidare Turnstile / Panoramica del servizio email / Configura email inoltro
Quanto costa per uso generale/uso aziendale?
Quello che segue è un esempio di configurazione presupponendo un sito statico con un dominio e un piccolo modulo di richiesta. Non include servizi aggiuntivi come la schermata di pubblicazione del CMS, funzioni di iscrizione/pagamento, archiviazione degli allegati, monitoraggio/rinvio. Se vuoi mantenere WordPress, dovrai pagare il server separatamente.
Gli importi sono in dollari USA al 25 ottobre 2026. Tasse, tassi di cambio, acquisizione e rinnovo di domini univoci, caselle di posta e costi di manodopera per la produzione e la manutenzione non sono inclusi. Consideralo come un "canone mensile minimo + importo oltre l'utilizzo incluso".
Uso generale: se desideri avvisare solo l'amministratore, inizia con il livello gratuito.
Per blog personali, siti di hobby, ecc., sarebbe bello poter vedere le richieste nella tua casella di posta. Non ci sarà una risposta automatica e il risultato della trasmissione verrà visualizzato sullo schermo.
| Scopo | Cosa usare | Canone mensile stimato |
|---|---|---|
| Consegna della pagina | Pages／Workers Static Assets | $0 |
| Misure di sicurezza all'ingresso | Piano gratuito del sito web | $0 |
| Misure anti-bot | Turnstile Free | $0 |
| Ricezione richiesta | Workers Free | $ 0 (entro il livello gratuito) |
| Notifica dell'amministratore | Invia alla destinazione confermata | $0 |
| Totale approssimativo | $ 0 (livello gratuito/limitato) | |
Se il livello gratuito sia sufficiente dipende non solo dal numero di accessi, ma anche dal tempo di elaborazione e di implementazione. Anche se l'e-mail di notifica all'amministratore è gratuita, esistono altre restrizioni sull'esecuzione del programma di ricezione.
Uso aziendale: aggiungi la risposta automatica e il WAF a pagamento
Questo è un esempio di restituzione di un'e-mail di ricezione al richiedente e di utilizzo di regole WAF più ampie. Ciò non significa che tu abbia necessariamente bisogno di questo piano solo perché sei un'azienda. Scegli in base al ruolo del sito e all'impatto dell'interruzione.
| Scopo | Cosa usare | Pagamento mensile stimato |
|---|---|---|
| Consegna della pagina | Pages／Workers Static Assets | $0 |
| WAF a pagamento ecc. | Piano Pro del sito web | $25 |
| Misure anti-bot | Turnstile Free | $0 |
| Ricezione/Risposta automatica | Workers Paid＋Email Sending | Minimo $5 |
| Notifica dell'amministratore | Invia alla destinazione confermata | $0 |
| Totale approssimativo | Minimo $ 30/mese + utilizzo in eccesso | |
Workers Paid include un'indennità mensile per l'invio di e-mail di 3.000 e-mail con un prezzo base minimo di $ 5 al mese. L'eccedenza è di $ 0,35 per 1.000 email. Gli invii agli amministratori confermati non sono inclusi in questo frame. Poiché anche il reinvio e altri scopi utilizzano la quota di invio, non vi è alcuna garanzia che saremo in grado di ricevere 3.000 richieste.
Confronto comprensivo di pagamento annuale e Business
| Esempio di configurazione | Canone mensile base | Conversione mensile per il piano del sito web pagato annualmente |
|---|---|---|
| Uso generale: Libero + Lavoratori Gratis | $ 0 (entro il livello gratuito) | $ 0 (entro il livello gratuito) |
| Aggiungi risposta automatica: Gratuito + Lavoratori pagati | Minimo $5 | Minimo $5 |
| Esempio di utilizzo aziendale: Pro+Workers Paid | Minimo $ 30 | Valore minimo $ 25 |
| Se i requisiti sono rigorosi: Imprese + Lavoratori retribuiti | Minimo $ 255 | Valore minimo di $ 205 |
I pagamenti annuali per Pro sono $ 240/anno, mentre i pagamenti annuali per Business sono $ 2.400/anno. Un minimo di $ 5 al mese per i lavoratori e l'utilizzo in eccesso verrà addebitato separatamente. Non si tratta di un contratto in cui paghi ogni mese l'importo mensile equivalente riportato nella tabella.
L'azienda ha uno SLA (accordo contrattuale relativo ai tempi di attività) per i piani del sito Web, ma ciò non garantisce l'intero sistema, inclusa l'elaborazione dei moduli e la consegna delle e-mail. Se il funzionamento continuo è importante, valutare il rilevamento degli errori, il ripristino degli errori e la gestione delle funzionalità beta.
Workers Paid è un piano per l'esecuzione di programmi, ecc. Pro/Business è un piano per siti Web come WAF. Anche se ti iscrivi a Workers Paid, il WAF a pagamento non viene collegato automaticamente.
Le richieste di file statici sono gratuite e illimitate, ma sono previste restrizioni sul numero di file, sulla capacità, ecc. Si presuppone che WAF sia impostato su un percorso applicabile come il dominio della destinazione ed è necessario prestare attenzione quando si accede da un altro URL pubblico.
Prima della migrazione, controlla se ci saranno problemi prima di considerare il prezzo.
Se aggiornare ogni volta diventa un peso dopo la migrazione, sarà difficile continuare a utilizzare il sito. Pensiamo che sia una buona idea provare prima a postare e pubblicare un numero limitato di articoli.
- Aggiornamento:il responsabile può scrivere l'articolo, aggiungere immagini e pubblicarlo?
- Pagina esistente:è possibile mantenere l'URL precedente? Se voglio cambiarlo posso essere guidato/reindirizzato dal vecchio URL?
- Funzioni allegate:Come trasferire commenti, ricerca, categorie, RSS, moduli, ecc.
- Recupero:se pubblichi contenuti errati, puoi tornare allo stato precedente?
- Esportazione: è possibile eseguire il backup di articoli e immagini e spostarli altrove in futuro?
- Gestione:l'account può essere gestito da più persone? Posso impostare l'autenticazione a più fattori?
C'è anche un modo per continuare a utilizzare WordPress e impostare un sistema di manutenzione. Puoi lasciare questo compito a un servizio gestito oppure puoi rendere statico il lato pubblicazione. Vorrei selezionare la configurazione adatta al mio sito verificando le funzioni necessarie e l'ambito dei continui aggiornamenti e manutenzioni.
L'illustrazione è un diagramma esplicativo creato per questo articolo. I prezzi e le condizioni di fornitura sono soggetti a modifiche.