La morte di WordPress? Cosa sta cambiando davvero e cosa fare con il proprio sito

WordPress non è morto, ma ha smesso di crescere

"WordPress è morto" è un titolo che torna ogni due o tre anni, e finora è sempre stato smentito. Nel 2026 però la domanda è più seria: per la prima volta in vent'anni la quota di WordPress scende in modo misurabile, mese dopo mese.

Le ragioni non sono una sola. C'è una crisi di governance ai vertici del progetto, una sicurezza dei plugin sempre più fragile e un'intelligenza artificiale che sta cambiando sia il modo di costruire i siti sia quello di attaccarli. La nostra tesi: WordPress resta uno strumento valido per molti siti, ma non è più la scelta automatica. Chi ha un sito aziendale oggi deve decidere, non ereditare.

I numeri: dal 43% al 40% in nove mesi

Secondo W3Techs, al 1° ottobre 2026 WordPress è usato dal 40,2% di tutti i siti web e dal 58,7% di quelli con un CMS riconoscibile (eSEOspace su dati W3Techs). Resta di gran lunga il più diffuso: Shopify, secondo, è al 5,4%.

L'andamento della quota di WordPress sul totale dei siti web, rilevato da W3Techs al 1° gennaio di ogni anno e al 1° ottobre 2026 (eSEOspace su dati W3Techs):

Il dato da guardare non è il livello ma la direzione. Dopo dieci anni di crescita e quattro di stallo, nel 2026 la curva scende, e Search Engine Journal ha contato sei mesi consecutivi di calo fino a maggio (Shopifreaks). L'HTTP Archive, che misura un campione diverso, vede il picco già a luglio 2022 e una perdita relativa del 7% in quattro anni (GravityKit).

Un dettaglio dice molto. La quota persa da WordPress non va quasi tutta ai concorrenti diretti: nel primo semestre 2026 Shopify e Wix hanno guadagnato insieme pochi decimi, e oltre metà del calo finisce tra i siti "senza CMS" (Smartworld). Sono siti statici, su misura o generati con l'AI. Nello stesso periodo i download di Astro, uno dei framework più usati per questi siti, sono più che raddoppiati (Shopifreaks).

Le crepe: governance, plugin, manutenzione

Chi comanda il progetto. WordPress è open source, ma la sua infrastruttura (WordPress.org, il catalogo dei plugin, gli aggiornamenti) dipende in larga parte da Matt Mullenweg e da Automattic, la sua azienda. Dal settembre 2024 Automattic è in causa con WP Engine, uno dei maggiori hosting WordPress: per settimane i clienti di WP Engine non hanno potuto aggiornare i plugin dai canali ufficiali, finché un giudice non ha ordinato di ripristinare l'accesso (eSEOspace). Nel 2025 il progetto ha ridotto i rilasci citando anche le energie assorbite dalla causa. A settembre 2026 il consiglio di Automattic ha messo Mullenweg in congedo forzato e lui ha ripreso il controllo nel giro di due settimane (Capmad); negli stessi giorni il tribunale ha lasciato proseguire le accuse antitrust di WP Engine. Per un'azienda significa che lo strumento su cui poggia il sito dipende da equilibri che non controlla.

I plugin. Il cuore di WordPress è solido; il problema è ciò che gli si aggiunge. Nel 2025 Patchstack ha contato 11.334 nuove vulnerabilità nell'ecosistema, il 42% in più dell'anno prima: il 91% nei plugin, il 9% nei temi, solo 6 nel core e di bassa gravità (Patchstack). Altri tre numeri dello stesso rapporto pesano di più:

• il 46% delle vulnerabilità non aveva ancora una correzione quando è stato reso pubblico;
• per le falle più sfruttate, il tempo mediano tra pubblicazione e primi attacchi di massa è di 5 ore;
• i firewall degli hosting hanno bloccato solo il 26% degli attacchi nei test.

Aggiornare spesso resta necessario, ma da solo non basta più.

La manutenzione. Un sito WordPress tipico è fatto di core, tema, page builder e dieci o venti plugin di autori diversi, ognuno con i suoi aggiornamenti. Elementor da solo è presente su quasi un sito WordPress su tre, e circa un sito su sette gira ancora su versioni non più pienamente supportate (eSEOspace su dati W3Techs). Questo lavoro ha un costo, spesso invisibile finché qualcosa non si rompe.

Cosa dice la comunità tecnica su Hacker News

Su Hacker News, il forum di Y Combinator frequentato da sviluppatori e fondatori di startup, nel 2026 WordPress è tornato più volte in prima pagina. Quasi mai per buone notizie.

Il caso della backdoor è il più istruttivo per chi gestisce un sito aziendale. Un acquirente ha comprato per una cifra a sei zeri un'azienda che pubblicava oltre 30 plugin gratuiti; il suo primo aggiornamento conteneva già la backdoor, rimasta dormiente per otto mesi. Una volta attivata, mostrava pagine di spam solo a Google, invisibili al proprietario del sito. WordPress.org ha chiuso tutti i plugin in un giorno, ma l'aggiornamento forzato non ha ripulito i siti già infetti (Anchor Hosting). Il punto: non esiste alcun controllo quando un plugin cambia proprietario.

Il caso dell'AI cambia la scala del problema. Il ricercatore stima che un exploit di questo tipo valga centinaia di migliaia di dollari sul mercato nero; con un abbonamento AI è costato l'equivalente di 25 dollari (Searchlight Cyber). Due mesi dopo è arrivata un'altra falla critica nel core. Trovare vulnerabilità non è mai costato così poco, e chi difende ha meno tempo per aggiornare.

Nei commenti emergono alcune posizioni ricorrenti:

• Il valore di WordPress è l'ecosistema, non il codice. Molti fanno notare che le aziende restano per WooCommerce, i temi e le integrazioni già pronte; un CMS più moderno senza quei plugin non lo sostituisce (discussione EmDash).
• I siti statici piacciono agli sviluppatori, meno a chi scrive i contenuti. Più di un commentatore racconta di marketing che, senza un pannello per pubblicare da soli, ha finito per tornare a WordPress.
• Il nuovo rischia un nuovo vincolo. Diversi utenti osservano che la sicurezza promessa da EmDash funziona pienamente solo sull'infrastruttura Cloudflare.
• WordPress si può tenere in sicurezza, con disciplina. Chi lo gestisce bene descrive la stessa ricetta: pochi plugin di autori affidabili, aggiornamenti automatici, e un server che non può collegarsi a indirizzi esterni non autorizzati (discussione backdoor).
• Il problema non è solo di WordPress. Lo stesso schema, cioè dipendenze di terzi che nessuno controlla, riguarda npm, le estensioni dei browser e ogni ecosistema a pacchetti.

L'AI cambia il modo di fare siti

Per vent'anni WordPress ha vinto perché permetteva a chiunque di avere un sito senza scrivere codice. L'AI erode proprio quel vantaggio: oggi un sito veloce e su misura si può generare in poche ore, e la manutenzione del codice pesa meno di prima. Tre tendenze vanno nella stessa direzione.

• Siti statici e framework moderni. Strumenti come Astro producono pagine HTML già pronte, senza database da interrogare a ogni visita e quindi con molta meno superficie d'attacco. I loro download sono raddoppiati in pochi mesi (Shopifreaks).
• CMS pensati per l'AI. EmDash di Cloudflare, costruito con agenti AI in due mesi, isola ogni plugin e gli concede solo i permessi dichiarati. Include un server MCP e strumenti perché un agente possa gestire i contenuti, e importa un sito WordPress esistente in pochi minuti (Cloudflare). È ancora una versione preliminare, ma indica la direzione.
• WordPress come "motore" dietro le quinte. Patchstack osserva che molte agenzie usano WordPress solo per gestire i contenuti e fanno generare all'AI il sito vero e proprio (Patchstack). WordPress resta, ma diventa invisibile, e i rilevatori di mercato smettono di contarlo.

C'è poi un pubblico nuovo: gli assistenti AI che leggono i siti per rispondere alle domande delle persone. Pagine leggere, ben strutturate e con dati chiari sono più facili da citare. Un sito appesantito da page builder e script di terze parti parte in svantaggio.

L'AI però non risolve tutto: lo stesso strumento che genera un sito in un'ora genera anche codice con vulnerabilità, se nessuno lo controlla. Spostarsi da WordPress significa anche smettere di avere un ecosistema che, nel bene e nel male, aggiorna i pezzi al posto vostro.

Non solo restare o andarsene: WordPress fatto in un altro modo

Tra il WordPress "classico", installato e aggiornato dal pannello, e l'abbandono totale ci sono due strade intermedie. Sono quelle che usano molti sviluppatori professionisti, e rispondono proprio ai problemi visti finora.

Bedrock: WordPress gestito come un'applicazione

Bedrock è una struttura di progetto open source creata da Roots, ispirata ai principi delle applicazioni web moderne. WordPress resta lo stesso, cambia il modo in cui viene costruito e messo online:

• Core, temi e plugin diventano dipendenze dichiarate. Sono elencati in un file con le versioni esatte e installati con Composer, il gestore di pacchetti di PHP. Il sito è riproducibile: lo stesso file produce lo stesso sito, in sviluppo, in prova e in produzione.
• Il codice sta sotto controllo di versione. Ogni modifica passa da Git, si può rivedere prima di andare online e si può annullare.
• Configurazione separata per ambiente. Password e chiavi stanno in file di ambiente, fuori dalla cartella pubblica del sito; il server espone solo ciò che serve.
• Niente installazioni dal pannello. Di norma in produzione non si possono aggiungere o modificare plugin da wp-admin: un account rubato non basta per caricare codice nuovo.

Rispetto ai rischi di questo articolo il vantaggio è concreto. Un plugin che cambia proprietario e si riempie di malware non arriva in produzione da solo: l'aggiornamento passa da uno sviluppatore, da un ambiente di prova e da un controllo delle differenze. Il rovescio della medaglia è che anche le correzioni di sicurezza vanno applicate attivamente, e serve qualcuno che lo faccia ogni settimana.

Anche questo pezzo di ecosistema è stato toccato dalle tensioni del 2026. A marzo WP Engine ha acquisito WPackagist, il repository da cui la maggior parte dei progetti Composer scaricava i plugin di WordPress.org; Roots ha risposto in pochi giorni con un repository alternativo indipendente, finanziato dalla comunità (Codeboxr).

Bedrock ha senso per siti che contano: testate, portali, e-commerce, siti con molte persone che ci lavorano. Lo usiamo anche noi, per esempio su un sito di news ad alto traffico che gestiamo, dove ogni aggiornamento passa da un ambiente di prova prima di andare online. Per un piccolo sito vetrina è spesso più struttura del necessario.

WordPress headless: il pannello resta, il sito cambia

In un'architettura headless WordPress diventa solo il "back office". Redazione e marketing continuano a usare wp-admin come sempre, mentre il sito pubblico è un'applicazione separata, di solito costruita con Astro o Next.js, che legge i contenuti tramite le API di WordPress.

Nel 2026 questa strada è più matura di prima. WPGraphQL, il plugin più usato per esporre i contenuti, è diventato un plugin canonico del progetto WordPress; Astro è passato sotto Cloudflare a gennaio e ha rilasciato la versione 6 a marzo (Forminit).

I vantaggi:

• Velocità. Il sito pubblico può essere fatto di pagine statiche servite da una rete globale, senza PHP né database a ogni visita.
• Superficie d'attacco ridotta. Il pannello di WordPress non è più esposto al pubblico e può stare dietro una VPN o un elenco di indirizzi autorizzati. Chi visita il sito non vede WordPress.
• Un contenuto, più canali. Gli stessi contenuti possono alimentare sito, app e altri servizi.

I costi, spesso sottovalutati:

• Due sistemi da mantenere invece di uno, con due hosting e due cicli di aggiornamento.
• Anteprima più complicata. Il tasto "Anteprima" di WordPress non funziona da solo e va ricostruito.
• Molti plugin smettono di funzionare. Page builder come Elementor o Divi, gallerie, slider e moduli di contatto producono HTML che il nuovo sito non usa; vanno sostituiti (Gautam Khorana).
• Investimento iniziale. Una migrazione di un sito B2B da 400 pagine raccontata da un'agenzia britannica ha richiesto 11 settimane e circa 90.000 dollari (Gautam Khorana).

La stessa fonte è netta su quando non farlo: redazioni numerose che pubblicano molto, team tecnici di una o due persone, siti che sono già abbastanza veloci. Per un sito vetrina di una PMI, di solito è più semplice e meno costoso un sito statico puro. Headless conviene quando si vogliono tenere WordPress e le sue abitudini redazionali, ma il sito pubblico deve essere molto più veloce e sicuro.

Restare su WordPress o cambiare: una griglia per decidere

Non esiste una risposta valida per tutti. Per la maggior parte delle PMI la scelta dipende da cosa fa il sito e da chi lo aggiorna. Ogni riga della tabella pende da una parte.

Se la maggior parte delle risposte cade a sinistra, WordPress ben gestito resta una scelta sensata. Se cade a destra, un sito statico o un CMS più leggero riduce costi e rischi. In mezzo ci sono le due strade intermedie: Bedrock se il sito è importante e volete tenerlo su WordPress con più controllo, headless se volete tenere il pannello ma rendere il sito pubblico statico e veloce.

Cosa fare oggi con il vostro sito WordPress

Che decidiate di restare o di cambiare, i primi passi sono gli stessi e si fanno in poche settimane.

1. 01

   Fate l'inventario

   Versione di WordPress, tema, page builder, elenco dei plugin con autore e data dell'ultimo aggiornamento. Molti siti scoprono qui plugin dimenticati o abbandonati.

2. 02

   Togliete quello che non serve

   Ogni plugin disattivato e cancellato è un rischio in meno. Controllate anche che nessuno dei plugin abbia cambiato proprietario di recente.

3. 03

   Aggiornate e proteggete

   Core sempre all'ultima versione, aggiornamenti automatici dove possibile, accessi con autenticazione a due fattori, nessun account amministratore condiviso.

4. 04

   Chiudete le porte in uscita

   Il server del sito non dovrebbe potersi collegare a indirizzi esterni non necessari: è così che la backdoor dei 30 plugin riceveva gli ordini.

5. 05

   Verificate i backup

   Non basta averli: provate un ripristino. E controllate i file di configurazione, dove il malware moderno tende a nascondersi.

6. 06

   Misurate

   Velocità su mobile, visibilità nelle ricerche e nelle risposte AI, ore e costi di manutenzione all'anno.

7. 07

   Decidete con la griglia

   Con i dati in mano, la scelta tra curare il sito attuale e rifarlo diventa una decisione e non un'abitudine.

In Cloudfactory seguiamo ogni giorno decine di siti WordPress di aziende e studi professionali, e conosciamo bene sia i suoi punti di forza sia il lavoro che richiede per restare sicuro. Negli ultimi mesi abbiamo anche portato alcuni progetti, a partire dai nostri, su siti statici costruiti con l'AI. Per questo non abbiamo una soluzione unica da vendere: aiutiamo a capire quale strada conviene, mettiamo in sicurezza quello che resta su WordPress e accompagniamo la migrazione quando ha senso.

Se volete sapere in che stato è il vostro sito, scriveteci: partiamo da un controllo e vi diciamo con franchezza se conviene curarlo, alleggerirlo o rifarlo.

Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

Domande frequenti

Fonti

1. eSEOspace, WordPress Market Share in 2026 (dati W3Techs)
2. GravityKit, WordPress market share 2026 (dati HTTP Archive)
3. Shopifreaks, WordPress perde quota per sei mesi consecutivi
4. Smartworld, WordPress in calo nel 2026
5. eSEOspace, The WP Engine and Automattic Dispute Explained
6. Capmad, il consiglio di Automattic mette Mullenweg in congedo
7. Patchstack, State of WordPress Security in 2026
8. Anchor Hosting, Someone Bought 30 WordPress Plugins and Planted a Backdoor
9. Searchlight Cyber, WordPress RCE trovata con l'AI
10. WordPress, advisory GHSA-7hp8-65ch-5whp (CVE-2026-87902)
11. Cloudflare, Introducing EmDash
12. Bedrock di Roots (Packagist)
13. Codeboxr, WPackagist vs WP Composer
14. Forminit, Headless WordPress in 2026
15. Gautam Khorana, Headless WordPress 2026: the complete practical guide
16. Hacker News, backdoor nei 30 plugin
17. Hacker News, EmDash
18. Hacker News, RCE con l'AI
19. Hacker News, falla nel core di settembre