Segundo o W3Techs (consulta de outubro de 2026), o WordPress está em 39,5% de todos os sites da internet, e por isso é o alvo número 1 de ataques automatizados. Um bot que conhece uma falha num plugin popular pode testá-la em milhões de sites por dia. Se você tem um site WordPress, este é o mapa do que costuma ser explorado e de como corrigir.
Por Que o WordPress É Tão Atacado?
O problema raramente está no núcleo do WordPress, que recebe correções de segurança com frequência. Está no ecossistema: dezenas de milhares de plugins no diretório oficial, muitos abandonados pelos autores; temas "nulled" (versões pagas pirateadas) que já vêm com backdoor; configurações padrão que expõem informação; e instalações que ficam anos sem atualização. No mesmo levantamento do W3Techs, cerca de um terço dos sites WordPress ainda roda versões principais anteriores à atual.
As Principais Vulnerabilidades em Sites WordPress
1. Plugins com falhas conhecidas
Plugins populares, como Contact Form 7, Elementor e WooCommerce, já tiveram vulnerabilidades críticas corrigidas pelos autores. O risco está em quem não atualizou. Um plugin parado há meses é um risco real, e um plugin abandonado pelo autor não vai receber correção nunca.
Como corrigir: mantenha todos os plugins atualizados, remova os que não usa (desativar não basta, o código continua no servidor) e acompanhe bases como a WPScan Vulnerability Database.
2. Força bruta no login
Bots testam milhares de combinações de usuário e senha em /wp-login.php. Senhas fracas e o usuário padrão "admin" facilitam o trabalho.
Como corrigir: limite tentativas de login, ative a verificação em duas etapas para todos os administradores e use senhas longas e únicas. Mudar o endereço de login reduz o ruído dos bots, mas não substitui as outras medidas.
3. XML-RPC habilitado
Permite publicação remota no WordPress, mas também é vetor de força bruta em lote, já que uma única requisição pode testar muitas senhas.
Como corrigir: bloqueie /xmlrpc.php no servidor ou no WAF se você não usa publicação remota nem integrações que dependam dele.
4. Exposição do wp-config.php e de backups
O wp-config.php contém as credenciais do banco de dados. Com o servidor mal configurado, ele ou uma cópia esquecida (wp-config.php.bak, um .zip de backup na raiz) pode ser baixado diretamente.
Como corrigir: mova o wp-config.php um nível acima do diretório público (o WordPress procura lá automaticamente), restrinja as permissões do arquivo e nunca deixe backups dentro da pasta pública.
5. SQL Injection via formulários
Campos de busca e formulários sem tratamento adequado são vetores clássicos, principalmente em plugins e temas feitos sob medida.
Como corrigir: no código próprio, use sempre $wpdb->prepare() nas consultas e valide todas as entradas. O texto sobre SQL injection explica o ataque em detalhe.
6. Enumeração de usuários
Por padrão, endereços como /?author=1 e a API /wp-json/wp/v2/users revelam os nomes de usuário de quem publica. Com o login em mãos, falta ao atacante só a senha.
Como corrigir: restrinja a listagem de usuários na API REST para visitantes não autenticados e use nomes de exibição diferentes do login.
7. Editor de arquivos e uploads executáveis
O editor de temas e plugins do painel permite alterar código PHP pelo navegador. Se uma conta de administrador for invadida, ele vira a porta para instalar um backdoor. Da mesma forma, uma pasta de uploads que executa PHP transforma qualquer falha de upload em execução de código.
Como corrigir: adicione define('DISALLOW_FILE_EDIT', true); ao wp-config.php e bloqueie a execução de PHP em wp-content/uploads.
Checklist Básico de Segurança WordPress
- WordPress, plugins e tema atualizados, com atualizações automáticas para correções de segurança
- Plugins e temas sem uso removidos, e nenhum tema ou plugin "nulled"
- Usuário
adminrenomeado ou excluído - Senhas longas e únicas, e verificação em duas etapas para todos os administradores
- Editor de arquivos do painel desativado
- PHP bloqueado na pasta de uploads
- Versão do PHP do servidor ainda suportada
- HTTPS ativo com HSTS configurado
- Backup automático diário fora do servidor, com restauração testada
- WAF ativo (Cloudflare, Wordfence ou equivalente)
- XML-RPC desabilitado, se não for usado
Sinais de Que o Seu WordPress Já Foi Invadido
Usuários administradores que ninguém criou, arquivos PHP novos na pasta de uploads, páginas de spam indexadas no Google e redirecionamentos que só acontecem para quem vem da busca são os sinais mais comuns. A lista completa, e o que fazer nas primeiras horas, está em como saber se meu site foi hackeado.
Quando o Checklist Não Basta
Configurações básicas reduzem a superfície de ataque, mas não substituem um teste real. Um pentest web focado em WordPress testa cada plugin instalado, analisa o código de temas e plugins customizados e simula ataques reais contra a sua instalação específica, incluindo integrações como pagamento e área do cliente.
Perguntas Frequentes
Plugin de segurança resolve?
Ajuda, mas não resolve sozinho. Plugins como o Wordfence bloqueiam ataques conhecidos e avisam sobre arquivos alterados, mas não corrigem um plugin vulnerável que você mantém instalado nem uma falha no código do seu tema.
WordPress é inseguro?
O núcleo não é. O risco vem da combinação de plugins, temas, hospedagem e manutenção. Um WordPress atualizado, com poucos plugins confiáveis e acesso administrativo bem protegido, é tão defensável quanto outras plataformas.