Como o hacker entrou no meu WordPress: as 5 portas mais comuns

Na esmagadora maioria dos casos o invasor entra por uma destas cinco portas: plugin ou tema desatualizado, senha fraca ou vazada, hospedagem compartilhada contaminada, permissões de arquivo erradas ou um plugin nulled. Descobrir qual delas foi usada é a parte mais importante da recuperação — sem isso, a limpeza é temporária.

Note o que não está na lista: ataque sofisticado e direcionado. É raríssimo em sites de pequeno e médio porte. A quase totalidade dos ataques é automatizada e oportunista.

1. Plugin ou tema desatualizado

É a campeã absoluta. Quando uma falha é corrigida em um plugin, a correção vira pública — e com ela a descrição do problema. Bots passam a varrer a internet procurando quem ainda não atualizou.

Como identificar: compare a data da invasão com a data de publicação de correções dos plugins que você usa. Plugins abandonados, sem atualização há mais de um ano, são os suspeitos mais prováveis.

Como fechar: atualize tudo e remova o que não usa. Plugin desativado mas instalado continua sendo um arquivo acessível no servidor.

2. Senha fraca ou vazada

Duas variações. Na primeira, o bot testa combinações comuns no login até acertar. Na segunda — mais frequente — a senha vazou em algum outro serviço e foi reutilizada no seu site.

Como identificar: procure tentativas de login malsucedidas nos logs, ou acesso bem-sucedido de um IP incomum. Se o acesso foi por FTP, o log da hospedagem mostra.

Como fechar: senhas únicas e longas para WordPress, FTP, hospedagem e banco. Ative dois fatores no login. Limite tentativas.

3. Vizinho infectado na mesma hospedagem

Em plano compartilhado, vários sites dividem o mesmo espaço. Dependendo de como o servidor está configurado, uma infecção em um site alcança os outros da mesma conta.

Como identificar: se você tem vários sites na mesma hospedagem e mais de um está infectado, é quase certo. Também é o cenário clássico de reinfecção logo após a limpeza.

Como fechar: limpe todos os sites da conta ao mesmo tempo. Sites importantes merecem contas separadas.

4. Permissões de arquivo erradas

Pastas com permissão 777 permitem que qualquer processo escreva nelas. É comum aparecer depois de alguém liberar permissões para “resolver” um erro de upload.

Como identificar: procure arquivos .php dentro de wp-content/uploads. Essa pasta deveria conter só mídia.

Como fechar: o padrão é 755 para pastas e 644 para arquivos. O wp-config.php pode ser mais restrito ainda.

5. Plugin ou tema pirata

Versões “nulled” de plugins pagos frequentemente vêm com backdoor embutido. O plugin funciona como esperado — e abre acesso silenciosamente.

Como identificar: revise a origem de cada plugin premium instalado. Se veio de site de downloads e não do desenvolvedor, é suspeito.

Como fechar: substituir pela versão oficial não basta — é preciso caçar o backdoor que já foi plantado.

Por que descobrir a porta importa tanto

Limpeza sem diagnóstico é enxugar gelo. O invasor volta pelo mesmo caminho, muitas vezes em dias, e o dono do site conclui que “a limpeza não funcionou” — quando o que faltou foi fechar a entrada.

É por isso que, no nosso processo de remoção de malware, a identificação da origem faz parte do serviço e não é etapa opcional.

Perguntas frequentes

Dá para saber com certeza por onde entraram?

Nem sempre com 100% de certeza, principalmente se os logs já rotacionaram. Mas na maioria dos casos o conjunto de indícios — data dos arquivos modificados, versão dos plugins, logs de acesso — aponta para uma causa provável, e é o suficiente para fechar a brecha.

Meu site é pequeno. Por que fui alvo?

Você não foi escolhido. Bots varrem faixas inteiras de IP procurando versões vulneráveis, sem olhar quem é o dono. Um site com dez visitas por dia serve igualmente bem para hospedar phishing ou enviar spam.

Manter tudo atualizado resolve?

Resolve a maior parte, mas não tudo. Atualização não protege contra senha vazada, permissão errada ou plugin pirata. É a medida mais eficaz isoladamente, não a única necessária.

Plugin de segurança teria evitado?

Talvez. Firewall e limite de tentativas de login barram bem o ataque automatizado. Mas nenhum plugin protege contra uma falha no próprio plugin, nem contra backdoor que já veio instalado junto com um tema pirata. Para empresas que buscam suporte especializado WordPress, recomendamos avaliar nossos critérios de escolha.