Verificar vulnerabilidades de plugins do WordPress: WP-CLI e WPScan

Este artigo é uma edição localizada do original em japonês. Ler o original em japonês

Nas vulnerabilidades de plugins, o intervalo entre a divulgação e o início dos ataques pode ser curto. O básico é repetir regularmente este ciclo: saber quais plugins e versões você tem, compará-los com as vulnerabilidades conhecidas e atualizar se houver uma versão corrigida. Este artigo explica, em ordem, como conferir as versões com o WP-CLI, comparar com o WPScan, ler os bancos de vulnerabilidades, verificar se houve adulteração e o que fazer quando uma vulnerabilidade é encontrada. Os comandos e as condições de preço foram conferidos na documentação oficial de cada ferramenta em novembro de 2026.

1. Liste os plugins instalados e as versões

Primeiro, descubra o que está instalado e em qual versão. Também dá para ver em "Plugins" → "Plugins instalados" (Plugins → Installed Plugins) no painel de administração, mas com o WP-CLI você consegue salvar a lista.

# Mostra nome, versão, ativo/inativo e se há atualização
wp plugin list --fields=name,version,status,update

# Mostra só os que têm atualização
wp plugin list --update=available

# Salva em JSON para registro
wp plugin list --fields=name,version,status --format=json > plugins.json

Os plugins desativados também aparecem na lista. Mesmo desativados, os arquivos continuam no servidor e, às vezes, é possível acessar diretamente um arquivo vulnerável; por isso, apague os que você não usa. O básico do WP-CLI está explicado em "Como gerenciar plugins com o WP-CLI".

2. Compare com as vulnerabilidades conhecidas usando o WPScan

O WPScan é uma ferramenta de linha de comando que examina um site WordPress de fora. As informações de vulnerabilidades vêm da API do WPScan, então crie uma conta em wpscan.com, gere um token de API e use-o.

Segundo a página de preços do WPScan, o plano gratuito se limita ao uso não comercial e a 25 chamadas de API por dia. Para usar em sites de empresas, é necessária uma licença paga. Ele funciona sem o token de API, mas, nesse caso, as informações de vulnerabilidades não são exibidas.

# Instalação (com o gem do Ruby)
gem install wpscan

# Para usar com Docker
docker pull wpscanteam/wpscan

# Procura plugins com vulnerabilidades relatadas
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# Usa a detecção passive e a aggressive juntas
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

Os principais valores de -e são os seguintes.

Por padrão, a detecção de plugins é passive, ou seja, lê pistas do HTML da página e de fontes semelhantes. Plugins que não deixam rastro no HTML podem não ser encontrados; com aggressive ou mixed a detecção aumenta, mas o número de requisições também.

Só examine com o WPScan sites que você administra ou para os quais tem autorização. Para mais detalhes de uso, consulte também "Como verificar vulnerabilidades do site com o WPScan".

3. Confirme os detalhes nos bancos de vulnerabilidades

Para os plugins que aparecem no resultado do WPScan ou que são citados em notícias de segurança, confirme os detalhes nos bancos de dados abaixo.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, busca pelo número do CVE)

Estes são os itens a observar.

Trate primeiro as que podem ser exploradas sem login e as de gravidade alta. As que podem ser exploradas com permissão de assinante são urgentes em sites que aceitam cadastro de usuários (sites de membros, lojas etc.).

4. Verifique se os arquivos foram adulterados

Quando há possibilidade de que a vulnerabilidade tenha sido explorada, confirme se os arquivos continuam como foram distribuídos. O verify-checksums do WP-CLI compara os arquivos com os checksums publicados pelo WordPress.org.

# Verifica todos os plugins
wp plugin verify-checksums --all

# Verifica só um plugin específico
wp plugin verify-checksums contact-form-7

# Verifica os arquivos do núcleo do WordPress
wp core verify-checksums

Se não houver problemas, aparece algo como Success: Verified 8 of 8 plugins.. Se houver arquivos adicionados ou arquivos com conteúdo diferente, a lista deles é exibida.

Plugins pagos que não são distribuídos pelo WordPress.org não têm checksum e, portanto, não podem ser verificados por esse método. Nesse caso, baixe a mesma versão do distribuidor e compare os arquivos.

5. O que fazer quando uma vulnerabilidade é encontrada

# Se houver versão corrigida: atualize
wp plugin update contact-form-7

# Se não houver versão corrigida: desative e, se não for usar, apague
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# Antes de atualizar tudo de uma vez, veja o que será atualizado
wp plugin update --all --dry-run

O vulnerable-plugin é um exemplo. Troque pelo slug real (a coluna name de wp plugin list).

• Faça um backup antes de atualizar e, depois, confirme que as telas principais (formulário de contato, pagamento etc.) funcionam.
• Se uma versão corrigida não sai e o desenvolvimento está parado, considere migrar para outro plugin com a mesma função. Quando o WordPress.org suspende a distribuição de um plugin, a página do plugin mostra um aviso de suspensão.
• Se houver sinais de adulteração, atualizar não basta. Verifique também se foi adicionado um usuário administrador, se há arquivos PHP colocados no uploads e se o wp-config.php foi alterado e, se necessário, restaure a partir do backup.

6. Torne a verificação um hábito

• Em "Plugins" do painel, é possível ativar a atualização automática plugin por plugin (a partir do WordPress 5.5). Comece pelos plugins com menos risco de quebrar a exibição na atualização. Para mais detalhes, veja "Como configurar a atualização automática de plugins".
• Se você executar o WPScan periodicamente pelo cron, atenha-se ao limite gratuito de 25 chamadas por dia e à condição de uso não comercial.
• O Wordfence, um plugin de segurança, também avisa em suas varreduras sobre plugins que precisam de atualização. O uso está explicado em "Como fazer a varredura do site com o Wordfence".

Resumo

A verificação de vulnerabilidades de plugins segue esta ordem: listar os plugins (wp plugin list), comparar com as vulnerabilidades conhecidas (WPScan e bancos de vulnerabilidades), verificar a adulteração (wp plugin verify-checksums) e corrigir atualizando ou apagando. Remover os plugins que você não usa é a medida que dá menos trabalho.

Dúvidas sobre WordPress? Quem publica este site fica no Japão e responde em japonês. Contato (em japonês)