Segurança de sites
Um site WordPress desatualizado é um risco: o que pode correr mal e como evitar
A maioria das falhas em sites WordPress vem de plugins e de PHP sem atualizações. Veja os sinais de um site abandonado, o que acontece quando é atacado e um plano de manutenção simples.
Em resumo
- O WordPress em si raramente é o problema. 91% das falhas de 2025 estavam em plugins, segundo a Patchstack, que contou 11 334 falhas novas no ecossistema WordPress nesse ano, mais 42% do que em 2024.
- Um site WordPress tem várias camadas que precisam de atualizações: PHP no servidor, núcleo do WordPress, plugins e tema. O PHP2Shell, de outubro de 2026, mostrou que até a camada do servidor pode falhar.
- As falhas publicadas começam a ser exploradas em poucas horas. Um site que só é atualizado "quando der" está sempre atrasado.
- A solução é simples e barata: atualizações regulares, cópias de segurança fora do servidor, acessos protegidos e alguém responsável por verificar.
Porque é que um WordPress desatualizado é um alvo fácil
O WordPress corre uma parte enorme da internet, e isso torna-o interessante para quem ataca: uma falha num plugin popular abre a porta a milhares de sites ao mesmo tempo. Os ataques são automáticos. Ninguém escolhe o site da sua empresa à mão; um programa percorre a internet à procura de versões vulneráveis e entra onde encontra uma.
Quando uma falha é publicada, a correção fica disponível, mas também fica disponível a informação de onde está o problema. A partir daí é uma corrida: os sites atualizados ficam protegidos e os outros ficam expostos, muitas vezes durante meses.
As quatro camadas que precisam de atualizações
- PHP, no servidor. É a linguagem em que o WordPress corre. Atualiza-se no painel do alojamento, não dentro do WordPress. Uma versão sem suporte, como o PHP 7.4, 8.0 ou 8.1, já não recebe correções de segurança, nem mesmo para falhas críticas como o PHP2Shell.
- Núcleo do WordPress. As versões menores atualizam-se sozinhas na maioria das instalações, mas as versões maiores precisam de ação.
- Plugins. É aqui que está o grosso do risco. Cada plugin é código de terceiros com acesso ao seu site. Plugins abandonados pelo autor não voltam a receber correções.
- Tema. Temas comprados e nunca atualizados, ou versões "gratuitas" de temas pagos descarregadas de sites duvidosos, são uma porta de entrada frequente.
Sinais de que o seu site está abandonado
- O painel do WordPress mostra atualizações pendentes há semanas ou meses.
- Há plugins instalados que ninguém sabe para que servem, ou desativados mas ainda presentes.
- O PHP está numa versão anterior à 8.2.
- Existem contas de administrador de antigos colaboradores, ou da agência que fez o site há anos.
- Ninguém sabe dizer quando foi feita a última cópia de segurança, nem onde está.
- O acesso ao painel usa uma palavra-passe simples e não tem verificação em dois passos.
Se reconhece três ou mais destes pontos, o site precisa de atenção, mesmo que pareça estar a funcionar bem.
O que acontece quando um site é atacado
A maioria dos ataques a sites de pequenas empresas não destrói nada à vista. O objetivo é usar o site sem que o dono repare:
- Redirecionamentos de quem chega pelo Google para sites de burla, apostas ou publicidade.
- Páginas escondidas com spam, que aparecem nos resultados de pesquisa com o nome da sua empresa.
- Envio de spam a partir do seu servidor, que faz com que os seus emails legítimos passem a cair em spam.
- Roubo de dados de formulários, contas de clientes ou encomendas.
- Aviso de site perigoso no Google e no navegador, que afasta quase todos os visitantes.
Se o site guarda dados pessoais de clientes, um ataque pode ser uma violação de dados ao abrigo do RGPD, com a obrigação de a comunicar à CNPD no prazo de 72 horas. Para além do custo de limpar o site, há o custo de confiança.
Um plano de manutenção simples
- Atualizações de segurança no próprio dia, e uma revisão mensal de PHP, núcleo, plugins e tema.
- Cópia de segurança antes de cada atualização e cópias automáticas guardadas fora do servidor.
- Menos plugins. Remova o que não usa. Cada plugin a menos é uma porta a menos.
- Acessos protegidos: palavras-passe fortes, verificação em dois passos e uma conta por pessoa, removida quando a pessoa sai.
- Monitorização: um aviso automático se o site cair ou mudar sem razão.
- Um responsável. Alguém, dentro ou fora da empresa, que sabe que esta tarefa é sua.
E se o site não precisar de WordPress?
Muitos sites de pequenas empresas usam WordPress apenas para mostrar serviços, fotografias e um formulário de contacto. Nesses casos, um site estático, sem PHP nem base de dados no servidor, elimina a maior parte do risco e da manutenção. É assim que a Nexo Solutions publica os sites que desenha de raiz: são rápidos, não têm plugins para atualizar e não ficam expostos a falhas como o PHP2Shell.
Se o seu site precisa mesmo de WordPress, por exemplo para uma loja ou um blog com muitos autores, o caminho é mantê-lo com regularidade. Em qualquer dos casos, o primeiro passo é saber em que estado o site está hoje.
Perguntas frequentes
O WordPress é seguro?
O núcleo do WordPress é mantido com cuidado e tem poucas falhas. O risco está à volta dele: segundo a Patchstack, 91% das falhas encontradas no ecossistema WordPress em 2025 estavam em plugins e 9% em temas. Um WordPress com plugins e PHP atualizados é razoavelmente seguro; um WordPress parado não é.
De quanto em quanto tempo devo atualizar o WordPress?
As atualizações de segurança devem entrar no próprio dia ou no dia seguinte. Para o resto, uma revisão mensal de núcleo, plugins, tema e versão do PHP, com cópia de segurança antes de cada atualização, chega para a maioria das pequenas empresas.
Como sei se o meu site WordPress foi atacado?
Sinais comuns: utilizadores administradores que não reconhece, redirecionamentos para outros sites, páginas em línguas estranhas no Google, aviso de site perigoso no navegador, emails a cair em spam ou o alojamento a suspender a conta.
Um site que não é WordPress precisa de manutenção?
Precisa sempre de alguma, mas um site estático, sem PHP nem base de dados no servidor, tem muito menos por onde ser atacado. É uma das razões por que os sites que a Nexo Solutions desenha de raiz são publicados como páginas estáticas.