"O site funciona, para quê mexer?" é a frase que antecede a maioria dos desastres WordPress. A realidade dos números: a esmagadora maioria dos sites WordPress hackeados entra por plugins e temas vulneráveis — não por passwords fracas, não por falhas do WordPress em si, não por ataques sofisticados. Por plugins com atualização disponível e não aplicada. Este artigo explica a mecânica do risco e como o gerir sem paranoia.
Como funciona a janela de exploração
O ciclo repete-se todas as semanas em milhares de plugins:
Dia 0: um investigador reporta uma vulnerabilidade ao autor do plugin. Dia X: o autor publica a correção — e nesse momento a vulnerabilidade torna-se pública: o changelog, as bases de dados de vulnerabilidades (WPScan, Wordfence) e a comparação do código antigo com o novo dizem aos atacantes exatamente onde está a falha. Dia X + horas: bots automatizados começam a varrer a internet à procura de sites com a versão vulnerável. Não é um hacker a escolher o seu site — é uma rede de bots a testar milhões de sites, incluindo o seu.
A conclusão prática é contraintuitiva: o momento mais perigoso para estar desatualizado é logo depois de a atualização sair. "Atualizo para o mês que vem" significa semanas dentro da janela de exploração ativa.
Os plugins mais visados (e porquê)
Os alvos preferidos partilham duas características: instalação massiva e privilégios elevados. Historicamente: page builders e os seus addons, plugins de formulários, plugins de SEO, sliders, e plugins de importação/exportação de dados. Um plugin de formulários vulnerável permite injetar conteúdo; um page builder vulnerável permite frequentemente execução de código — controlo total.
Nota importante sobre temas: valem exatamente o mesmo que plugins neste jogo (código PHP com os mesmos privilégios), incluindo os temas desativados que continuam instalados — o código está no servidor e alguns ataques exploram-no mesmo sem o tema estar ativo. O mesmo vale para plugins desativados: desativado não é seguro; desinstalado é seguro.
O caso especial dos plugins abandonados
Pior do que um plugin desatualizado é um plugin que já ninguém atualiza. Sinais de abandono: última atualização há mais de um ano, "testado até" várias versões do WordPress atrás, fórum de suporte sem respostas do autor. Um plugin abandonado com vulnerabilidade conhecida nunca terá correção — a única atualização possível é a substituição.
Faça o inventário honesto: dos plugins instalados no seu site, quantos consegue justificar? A média que encontramos em auditorias é 20–30 plugins, dos quais um terço desnecessários, duplicados ou abandonados. Cada um é superfície de ataque, peso na performance (relacionado: as causas de um WordPress lento) e mais um item na lotaria das incompatibilidades.
Gerir o risco em 4 regras
1. Menos plugins. A regra de ouro. Antes de instalar, pergunte: preciso mesmo? Já existe no tema ou noutro plugin? Ao remover, desinstale — não desative.
2. Plugins com pedigree. Antes de confiar uma função crítica a um plugin: instalações ativas (100k+ é bom sinal), frequência de atualizações, tempo de resposta no suporte. Um plugin com 800 instalações e sem atualizações há 2 anos não entra num site de negócio.
3. Atualizações de segurança em horas/dias, não semanas. Dado o ciclo de exploração descrito acima, a cadência mensal já não chega para correções de segurança. Se não consegue garantir esta cadência internamente, é sinal de que precisa de as delegar — o processo seguro está em como atualizar o WordPress sem partir o site.
4. Vigilância ativa. Saber que um dos seus plugins tem vulnerabilidade pública antes dos bots baterem à porta: serviços como o WPScan mantêm bases de dados de vulnerabilidades consultáveis, e a manutenção profissional inclui esta vigilância por rotina.
O custo da inação, em euros
Manter plugins atualizados custa 1–2 horas por mês (ou 25€–85€/mês delegado). A alternativa quando corre mal: 150€–600€ de limpeza de malware, dias de site marcado pelo Google, semanas de recuperação de posições — e nas lojas, vendas perdidas que nunca se recuperam. Não é uma aposta equilibrada.
Quando foi a última atualização do seu site?
Se a resposta é "não sei", o seu site está provavelmente dentro de uma janela de exploração neste momento. As atualizações geridas da Vuvo mantêm core, temas e plugins em dia — com backup prévio, verificação e vigilância de vulnerabilidades incluídas.
Manter o site atualizado