WordPress Seguro: As Vulnerabilidades Mais Exploradas e Como Corrigir

WordPress é o CMS mais atacado do mundo. Veja as principais vulnerabilidades exploradas em sites WP e como proteger o seu agora.

43% de todos os sites da internet rodam WordPress — e por isso é o alvo número 1 de atacantes automatizados. Se você tem um site WP, este artigo é essencial.


Por Que o WordPress É Tão Atacado?


O problema não está no núcleo do WordPress, mas no ecossistema: 59.000+ plugins disponíveis (muitos abandonados), temas nulled com backdoors, configurações padrão que expõem informações, e 42% dos sites WP rodando versões desatualizadas.


As Principais Vulnerabilidades em Sites WordPress


1. Plugins com CVEs Conhecidas


Plugins como Contact Form 7, Elementor e WooCommerce já tiveram vulnerabilidades críticas. Um plugin não atualizado por 6 meses é um risco real.


Como corrigir: Mantenha todos os plugins atualizados. Remova os que não usa. Monitore o WPScan Vulnerability Database.


2. Força Bruta no /wp-admin


Bots testam milhares de combinações de usuário/senha por minuto. admin/admin ainda funciona em muitos sites.


Como corrigir: Limite tentativas de login. Use MFA. Mude o slug de login padrão.


3. XML-RPC Habilitado


Permite acesso remoto ao WP, mas também é vetor de ataques de força bruta em lote.


Como corrigir: Bloqueie /xmlrpc.php via .htaccess se não usar publicação remota.


4. Exposição do wp-config.php


Contém credenciais do banco de dados. Se o servidor estiver mal configurado, pode ser lido diretamente.


Como corrigir: Mova o wp-config.php um nível acima do diretório público.


5. SQL Injection via Formulários


Campos de busca e formulários sem sanitização adequada são vetores clássicos.


Como corrigir: Use sempre o $wpdb->prepare() e valide todos os inputs.


Checklist Básico de Segurança WP


  • WordPress, plugins e tema atualizados

  • Usuário admin renomeado ou deletado

  • Senha forte (16+ caracteres)

  • MFA ativo para todos os administradores

  • SSL ativo com HSTS configurado

  • Backup automático diário em local externo

  • WAF ativo (Cloudflare, Wordfence)

  • XML-RPC desabilitado


Quando o Checklist Não Basta


Configurações básicas reduzem a superfície de ataque, mas não substituem um teste real. Um pentest web focado em WordPress testa cada plugin instalado, analisa código de temas customizados e simula ataques reais contra sua instalação específica.


Verifique agora se seu site WordPress está exposto: Diagnóstico gratuito →