Como encontrar plugins do WordPress desatualizados com vulnerabilidades conhecidas
Resposta curta: liste todos os plugins com a versão instalada e a mais recente (Painel → Atualizações, ou wp plugin list --update=available), procure cada um em um banco público de vulnerabilidades como Wordfence Intelligence, WPScan ou Patchstack, atualize ou remova o que estiver vulnerável e apague plugins fechados ou que não recebem mais manutenção.
Passos rápidos
- Liste plugins e versões. Use Painel → Atualizações ou o WP-CLI para ver as versões instaladas e disponíveis.
- Procure vulnerabilidades conhecidas. Pesquise cada plugin em um banco público de vulnerabilidades do WordPress.
- Atualize ou remova. Atualize os plugins vulneráveis; remova os que não têm correção ou que você não usa.
- Encontre plugins abandonados. Veja na página de cada plugin no WordPress.org se há aviso de fechamento e a data da última atualização.
- Ative as atualizações automáticas. Ative para os plugins em que você confia, e mantenha backups.
O código e a configuração ficam em inglês.
1. Liste plugins e versões
No painel, Painel → Atualizações lista tudo o que tem atualização. Com acesso ao shell, o WP-CLI é mais rápido:
wp plugin list --fields=name,status,version,update_version
wp plugin list --update=available
wp theme list --update=available
wp core check-update2. Procure vulnerabilidades conhecidas
Pesquise o slug de cada plugin em um banco público. Cada registro mostra as versões afetadas e a versão que corrige o problema:
3. Atualize, ou remova
- Faça um backup antes e depois atualize. Em seguida, teste o checkout, os formulários e o login.
- Se não houver versão corrigida, desative e apague o plugin e encontre uma alternativa.
- Plugins desativados continuam sendo arquivos no seu servidor. Apague o que você não usa.
wp plugin update --all --dry-run
wp plugin update contact-form-7
wp plugin delete hello-dolly4. Encontre plugins fechados ou abandonados
Abra a página de cada plugin no WordPress.org. Um plugin fechado mostra um aviso e não recebe mais correções. Um plugin que não é atualizado há anos, ou que não foi testado com versões recentes do WordPress, é um risco mesmo sem vulnerabilidade publicada.
5. Confira se arquivos não foram alterados
wp core verify-checksums
wp plugin verify-checksums --allArquivos do núcleo ou de plugins alterados podem indicar que o site já foi comprometido. Veja como saber se o seu site WordPress foi invadido.
6. Ative as atualizações automáticas
Desde o WordPress 5.5 você pode ativar atualizações automáticas por plugin na tela Plugins. Ative para plugins bem mantidos e faça backups diários para poder voltar atrás.
O que uma análise remota consegue ver
A análise gratuita do HackGrade encontra os plugins, temas e a versão do núcleo que suas páginas públicas revelam (por exemplo, por caminhos de arquivos e textos de versão) e os compara com dados públicos de vulnerabilidades. Plugins que não deixam rastro nas páginas públicas não podem ser vistos de fora, então a lista do WP-CLI acima é a completa.
Perguntas frequentes
É seguro atualizar todos os plugins de uma vez?
Geralmente não tem problema, mas faça backup antes e teste as páginas principais depois. Em uma loja movimentada, atualize um plugin por vez.
Desativar um plugin vulnerável me protege?
Em parte. Alguns arquivos vulneráveis ainda podem ser acessados diretamente. Apague os plugins que você não usa.
Como sei se uma vulnerabilidade está sendo explorada de fato?
Bancos como Wordfence Intelligence e Patchstack indicam exploração ativa, e a CISA lista CVEs exploradas no seu catálogo KEV. Trate esses casos como urgentes.