Um pesquisador de cibersegurança rodou recentemente um scan automatizado de 10.000 sites WordPress em diferentes setores e países. Os resultados foram marcantes, mas não surpreendentes: 94% compartilhavam as mesmas três vulnerabilidades. Não fraquezas complexas ou exóticas. Três problemas básicos, corrigíveis e bem compreendidos que a maioria dos donos de sites simplesmente não abordou.

Estes não são riscos teóricos. Cada uma dessas três vulnerabilidades é ativamente explorada por ferramentas automatizadas de ataque todos os dias. E cada uma pode ser fechada — a maioria em menos de uma hora.

Resumo

Três vulnerabilidades aparecem em quase todo site WordPress: falhas na segurança de login, software desatualizado e pontos de entrada expostos
Cada vulnerabilidade tem uma correção específica e prática que não exige conhecimento técnico avançado
Fechar as três elimina os pontos de entrada usados em mais de 80% dos ataques WordPress
Essas correções são necessárias mas não suficientes — monitoramento contínuo ainda é necessário
Uma equipe profissional pode implementar e manter as três permanentemente

Vulnerabilidade 1: A página de login desprotegida

Todo site WordPress tem uma página de login. Por padrão, ela fica em /wp-login.php ou /wp-admin. Toda ferramenta automatizada de ataque na internet sabe disso. E a maioria dos sites WordPress não tem proteção significativa nessa página.

Por que é perigoso

Ataques de força bruta — scripts automatizados que tentam milhares de combinações de usuário/senha — miram páginas de login WordPress incessantemente. Um site WordPress típico sem proteção recebe 50-200 tentativas de login por força bruta por dia. Alguns recebem milhares.

Sem proteção, é uma questão de probabilidade, não de possibilidade. Dado tempo e tentativas suficientes, credenciais fracas serão descobertas.

Um negócio de personal trainer em Goiânia teve sua conta de admin WordPress comprometida por um ataque de força bruta. A senha era o nome do negócio seguido de um ponto de exclamação. O atacante usou o acesso de admin para instalar um minerador de criptomoedas que rodou por três semanas, deixando o site extremamente lento e aumentando os custos de hospedagem em 400%.

Como fechar

Passo 1: Imponha senhas fortes. Cada conta de admin precisa de uma senha de pelo menos 16 caracteres com mistura de letras, números e símbolos. Use um gerenciador de senhas para gerar e armazená-las.

Passo 2: Habilite autenticação de dois fatores (2FA). Mesmo que uma senha seja comprometida, o 2FA impede acesso sem o segundo fator. Plugins como WP 2FA ou Google Authenticator tornam isso simples.

Passo 3: Implemente rate limiting no login. Após 5 tentativas falhas, bloqueie o endereço IP por 30 minutos. Isso torna ataques de força bruta impraticáveis.

Passo 4: Mude o nome de usuário admin padrão. Se qualquer conta usa "admin" como nome de usuário, crie uma nova conta de administrador com um nome único e delete a conta "admin".

Passo 5: Desabilite o XML-RPC se não for necessário. O XML-RPC é um método alternativo de login que muitos atacantes exploram. A menos que você especificamente precise (para o app mobile do WordPress ou Jetpack), desabilite-o.

Tempo de implementação: 30–45 minutos.

Vulnerabilidade 2: Componentes de software desatualizados

Esta é a vulnerabilidade mais explorada no WordPress. Segundo pesquisas de segurança, plugins desatualizados respondem por 52% de todos os hacks WordPress. Não ataques zero-day. Não exploits sofisticados. Apenas software que não foi atualizado.

Por que é perigoso

Quando um desenvolvedor de plugin ou tema descobre uma falha de segurança e lança uma correção, também publica uma descrição do que foi corrigido. Essa publicação é essencial para transparência — mas também dá aos atacantes um roteiro preciso para explorar sites que não aplicaram a atualização.

A janela entre uma vulnerabilidade ser divulgada e exploits automatizados serem implantados está diminuindo. Em alguns casos, é menos de 24 horas.

Uma pousada em Gramado tinha 28 plugins instalados. Doze não eram atualizados havia mais de seis meses. Um desses doze — um calendário de reservas desatualizado — tinha uma vulnerabilidade conhecida de SQL injection. Um scanner automatizado encontrou a vulnerabilidade numa sexta-feira. Até domingo, todo o banco de dados de clientes da pousada havia sido copiado: 3.800 nomes, e-mails, telefones e históricos de reserva.

Como fechar

Passo 1: Audite seus plugins agora. Vá ao painel do WordPress. Liste cada plugin e tema. Para cada um, verifique:

Quando foi a última atualização pelo desenvolvedor?
Tem uma vulnerabilidade conhecida? (Verifique em wpscan.com/plugins)
Está sendo ativamente mantido?

Passo 2: Remova o que não precisa. Cada plugin é um ponto de entrada potencial. Se não está usando ativamente, delete. Não desative — delete. Plugins desativados ainda podem conter código explorável.

Passo 3: Atualize tudo que permanecer. Aplique todas as atualizações disponíveis. Se não tem certeza se uma atualização vai quebrar algo, teste em um site de staging primeiro.

Passo 4: Estabeleça um fluxo de atualização. Atualizações não devem ser uma tarefa trimestral. Devem ser aplicadas em 48-72 horas após o lançamento, após testes. Esta é a prática de segurança de maior impacto disponível.

Passo 5: Substitua plugins abandonados. Se um plugin não foi atualizado pelo desenvolvedor há mais de um ano, encontre uma alternativa. O desenvolvedor provavelmente parou de monitorar problemas de segurança.

Tempo de implementação: 45–90 minutos para a auditoria inicial. Contínuo: 15 minutos por semana para manutenção.

Vulnerabilidade 3: Informações expostas do servidor e aplicação

A maioria dos sites WordPress vaza informações que ajudam atacantes a planejar sua abordagem. Essa divulgação de informações não habilita diretamente um ataque, mas reduz dramaticamente o esforço necessário.

Por que é perigoso

Quando um atacante pode ver sua versão do WordPress, versão do PHP, software do servidor, lista de plugins e nome do tema, ele não precisa adivinhar. Procura vulnerabilidades conhecidas para cada versão específica e as mira com precisão.

Pense como um prédio com uma placa na frente listando cada fabricante e modelo de fechadura usado lá dentro. As fechaduras em si podem ser decentes, mas você acabou de dizer aos potenciais invasores exatamente quais ferramentas trazer.

Uma organização sem fins lucrativos em Curitiba tinha a versão do WordPress exibida no código-fonte da página, a versão do servidor exposta nos headers HTTP e a lista completa de plugins visível através da REST API. Um atacante usou essa informação para identificar que o site rodava uma versão específica desatualizada de um plugin de formulário de contato com uma vulnerabilidade conhecida de upload de arquivo. O ataque foi cirúrgico — sem escaneamento necessário, sem adivinhação, apenas um exploit direto usando informações publicamente disponíveis que o site havia voluntariamente exposto.

Como fechar

Passo 1: Remova a versão do WordPress do seu site. O WordPress adiciona seu número de versão ao código-fonte HTML e feeds RSS por padrão. Adicionar uma função simples ao functions.php do seu tema remove isso:

remove_action('wp_head', 'wp_generator');

Passo 2: Desabilite a enumeração de usuários pela REST API. Por padrão, qualquer pessoa pode visitar /wp-json/wp/v2/users e ver uma lista dos seus nomes de usuário. Desabilite esse endpoint ou restrinja-o apenas a usuários autenticados.

Passo 3: Remova informações do servidor dos headers HTTP. Configure seu servidor para parar de transmitir sua versão de software. No Apache, adicione ServerTokens Prod e ServerSignature Off à sua configuração. No Nginx, adicione server_tokens off.

Passo 4: Desabilite navegação de diretório. Sem isso, qualquer pessoa pode navegar seus diretórios de arquivo acessando URLs de pastas. Adicione Options -Indexes ao seu arquivo .htaccess.

Passo 5: Proteja o wp-config.php. Este arquivo contém suas credenciais de banco de dados e chaves de segurança. Certifique-se de que não está acessível pela web. Adicione regras ao seu .htaccess ou configuração do servidor para negar todo acesso web a este arquivo.

Tempo de implementação: 20–30 minutos.

Por que essas três não são suficientes (mas são essenciais)

Fechar essas três vulnerabilidades vai impedir a maioria dos ataques automatizados mirando seu site. Isso é significativo — e vale a pena fazer hoje.

Mas não é uma estratégia de segurança completa. Aqui está o que mais você precisa:

Escaneamento diário de malware para detectar comprometimentos que ultrapassem medidas preventivas
Monitoramento de integridade de arquivos para detectar alterações não autorizadas
Monitoramento de uptime para saber imediatamente quando algo der errado
Backups diários off-site para garantir recuperação de qualquer incidente
Supervisão profissional contínua para se adaptar conforme novas ameaças surgem

As três correções neste artigo são a fundação. A segurança WordPress abrangente constrói sobre essa fundação com camadas de proteção contínua.

Um sprint de segurança de 90 minutos

Veja como fechar todas as três vulnerabilidades nesta tarde:

Tempo	Tarefa
0–30 min	Segurança de login: senhas fortes, 2FA, rate limiting, desabilitar XML-RPC
30–75 min	Auditoria de plugins/temas: remover não usados, atualizar restantes, substituir abandonados
75–90 min	Exposição de informações: remover números de versão, desabilitar enumeração, proteger config

Após esse sprint de 90 minutos, seu site será significativamente mais difícil de atacar do que 94% das instalações WordPress. São os 90 minutos de maior impacto que você pode dedicar ao seu site neste mês.

Para tudo além dessas três correções — o escaneamento diário, monitoramento, backups e gestão contínua que completam o quadro — é onde uma equipe dedicada faz a diferença. Nossa gestão e manutenção WordPress cuida de tudo, todos os dias, para que você nunca mais precise pensar nisso.

Pontos-Chave

Três vulnerabilidades — logins desprotegidos, software desatualizado e informações expostas — aparecem em 94% dos sites WordPress
Cada uma pode ser corrigida em menos de uma hora com passos específicos e práticos
Fechar as três bloqueia os pontos de entrada usados em mais de 80% dos ataques WordPress
Plugins desatualizados sozinhos respondem por 52% de todos os hacks WordPress — tornando atualizações a correção de maior impacto
Essas três correções são a fundação essencial, mas segurança completa requer monitoramento diário contínuo
Um sprint de segurança de 90 minutos hoje pode colocar seu site à frente da grande maioria das instalações WordPress

Cada dia que essas vulnerabilidades permanecem abertas é um dia que seu site está exposto. Feche-as hoje. Para proteção contínua além desses essenciais, entre em contato e deixe uma equipe profissional cuidar do resto.

Velocidade do site WordPress

Como Melhorar a Velocidade do WordPress: Checklist por Prioridade

Oferecemos performance e flexibilidade para apoiar todas as suas ideias