O WordPress move quase metade da web, o que o torna a plataforma mais visada da internet. Em 2025, o cenário de ameaças mudou de formas que deixaram a maioria das estratégias de segurança convencionais para trás: o número de vulnerabilidades subiu fortemente, os prazos de exploração despencaram para horas e o malware ficou melhor em sobreviver à limpeza.
Este panorama usa dados de segurança de 2025 para mostrar aos donos de sites WordPress e WooCommerce os riscos reais que seus sites enfrentam e as medidas práticas que fecham as brechas.
Quão graves ficaram as vulnerabilidades do WordPress em 2025?
11,334+42%
Novas vulnerabilidades
Encontradas em todo o ecossistema WordPress em 2025, um aumento em relação ao ano anterior.
4,124Exigiram ação
Mitigação necessária
Graves o bastante para exigir mitigação ativa.
1,966Alta gravidade
Risco de exploração em massa
Mais problemas de alta gravidade do que nos dois anos anteriores somados.
Não é uma tendência gradual. É uma aceleração significativa da atenção dos atacantes ao WordPress.
De onde vêm as vulnerabilidades
Plugins91%
De todas as vulnerabilidades reportadas recentemente.
Temas9%
O restante dos novos relatos.
Núcleo do WordPress6 problemas
Todos de baixa prioridade. O núcleo não é o problema — as camadas de terceiros por cima dele é que são.
Plugins premium são realmente mais seguros?
Não. Os componentes premium costumam ser um ponto cego ainda maior. Uma análise focada em componentes de marketplaces premium, incluindo os vendidos pela Envato, constatou:
- Quase 2.000 relatos válidos de componentes premium ou freemium — 29% de todos os relatos.
- 76% das vulnerabilidades em componentes premium eram exploráveis em ataques reais.
- 3× mais vulnerabilidades sabidamente exploradas do que os componentes gratuitos.
- 33 zero-days críticos em componentes premium, contra 12 nos gratuitos.
Não é que os plugins premium sejam feitos com mais descuido. Os pesquisadores têm acesso limitado ao código pago, então menos olhos o revisam. Menos escrutínio significa menos consciência do risco, não menos risco.
Quantas foram corrigidas antes da divulgação?
Apenas 54%. Os outros 46% se tornaram públicos antes de o desenvolvedor lançar uma correção, muitas vezes entregando os detalhes aos atacantes antes que os donos de sites tivessem algo para instalar. Atualizações de plugins sozinhas não podem ser sua estratégia de segurança quando quase metade das falhas divulgadas ainda não tem correção.
A rapidez com que os atacantes agem após a divulgação
Mais rápido do que a maioria dos cronogramas de atualização. Para as vulnerabilidades mais visadas, a mediana ponderada entre a divulgação e a exploração ativa foi de cinco horas, e cerca de metade das vulnerabilidades de alto impacto foi explorada em até 24 horas — exatamente quando a maioria dos administradores ainda não sabe ou ainda não aplicou a correção.
O que está sendo mais explorado
O controle de acesso quebrado liderou a lista de 2025. É difícil de defender porque os ataques parecem comportamento normal de usuário logado, sem strings de injeção óbvias para um firewall tradicional detectar. Outras classes muito exploradas:
- Cross-site scripting armazenado sem autenticação
- Upload de arquivos sem autenticação
- Bypass de autorização
- Escalonamento de privilégios
- Injeção de objetos PHP
Plugins de WooCommerce entraram na lista dos dez mais visados, incluindo um escalonamento de privilégios de 2023 no WooCommerce Payments que ainda é explorado em lojas sem correção.
Quão bem as defesas padrão de hospedagem resistem?
Não o suficiente. Testes de invasão em vários provedores de hospedagem mostraram que configurações padrão, incluindo WAFs internos e a Cloudflare, bloquearam apenas 26% das tentativas de exploração contra WordPress — e só 12% contra vulnerabilidades sabidamente exploradas. Regras genéricas de WAF lidam razoavelmente bem com ataques genéricos, mas deixam passar as classes específicas do WordPress por trás da maioria das explorações reais.
O que acontece depois que um site é comprometido
Por que o malware ficou mais difícil de remover
Cada vez mais, os atacantes injetam código em arquivos legítimos do núcleo, de plugins ou de temas, em vez de colocar arquivos maliciosos independentes. Como o arquivo de base é legítimo, scanners baseados em exclusão o sinalizam de forma inconsistente ou não o detectam — e excluí-lo quebra o site. Hoje, a limpeza exige remover cirurgicamente o trecho de um arquivo que, fora isso, é válido.
Existe um padrão sazonal
Os uploads de arquivos maliciosos quase triplicaram em novembro e dezembro de 2025. O quarto trimestre combina pico de tráfego com equipes reduzidas, então os atacantes correm menos risco de ser detectados rapidamente. Lojas com promoções de fim de ano estão na janela de maior risco do ano, com o menor número de pessoas disponíveis para responder.
As famílias de malware mais ativas em 2025
Padrão de evasãoToque para abrir
Entrega seletiva de conteúdo
Campanhas como Japanese SEO spam, jgalls e Parrot TDS mostram conteúdos diferentes para visitantes diferentes: spam para rastreadores de busca, redirecionamentos de phishing para humanos e páginas limpas para donos e scanners. O Parrot TDS agora também detecta rastreadores de treinamento de IA. Muitas vezes você só descobre quando os clientes reclamam ou o tráfego orgânico despenca.
Persistência residente em memória
O Lock360 roda na memória do servidor, não em arquivos. Limpe o index.php ou o .htaccess e o processo reescreve o código malicioso na hora. O ciclo continua até que o processo em memória seja encerrado — algo que a maioria dos scanners padrão não consegue fazer.
Infraestrutura de uploaders
Os scripts de upload quase dobraram em junho de 2025 e continuaram em alta. Eles permitem que os atacantes implantem novos payloads quando quiserem, então um site limpo de uma infecção pode ser reinfectado por um uploader adormecido que sobreviveu.
Como está o cenário na entrada de 2026
O desenvolvimento assistido por IA está acelerando a produção de plugins personalizados, com agências gerando funcionalidades sob demanda e combinando front-ends em React criados por IA com um backend WordPress. Isso amplia a superfície de ataque para além do núcleo, plugins e temas, alcançando componentes personalizados, pacotes JavaScript e dependências PHP que os scanners padrão de WordPress não foram feitos para avaliar.
As mesmas ferramentas de IA que constroem sites mais rápido também ajudam os atacantes a encontrar e explorar fraquezas por conta própria.
E o Cyber Resilience Act da UE está pressionando os fornecedores de plugins comerciais a manter programas formais de divulgação de vulnerabilidades. A maioria ainda não tem recursos para lidar com grandes volumes de relatos, o que pode ampliar a distância entre a descoberta de uma falha e a existência de uma correção.
O que os donos de lojas devem fazer agora
Qual é a situação da sua loja?0 de 6 implementados
Marque o que sua loja já tem implementado hoje.
Solicite uma auditoria gratuitaO resumo sobre a segurança do WordPress em 2026
Os fundamentos não mudaram: mantenha o software atualizado, limite o excesso de plugins e use credenciais fortes. O que mudou é que eles já não bastam sozinhos.
As explorações chegam em questão de horas. O malware é feito para sobreviver à limpeza padrão. Plugins premium trazem riscos ocultos. E os componentes gerados por IA continuam ampliando a superfície de ataque.
Segurança eficaz em 2026 significa mitigação automatizada que entra em ação nas primeiras horas após a divulgação, detecção no nível do servidor que encontra ameaças injetadas e residentes em memória, e visibilidade clara de cada componente do site. Trate a segurança como um processo contínuo, não como uma limpeza depois que algo dá errado.
