Ataque ao WordPress em outubro de 2026: o que o dono de empresa precisa fazer
Em outubro de 2026, invasores instalaram portas dos fundos em sites WordPress conectados ao UpdraftCentral, serviço que vem dentro do UpdraftPlus, plugin de backup com mais de 4 milhões de instalações. Em 28 de outubro, numa frente separada, o WordPress corrigiu 22 falhas de segurança. Se a sua empresa tem site em WordPress, o primeiro passo é saber quem cuida dele hoje.
Publicado em 1 de novembro de 2026
O que aconteceu, em datas
Em 18 de outubro de 2026, às 15h32, a empresa de segurança Patchstack registrou a primeira instalação de uma porta dos fundos num site WordPress. A campanha durou cerca de 18 horas. O invasor tinha chaves válidas do UpdraftCentral, o painel de gestão remota que vem embutido em toda cópia do UpdraftPlus, e com elas mandou cada site instalar um plugin falso.
O plugin falso criava uma conta escondida com cara de editor e poder de administrador. A entrada não passava pela tela de login, então senha forte e verificação em duas etapas não impediam. A conta continuava no site mesmo depois de o plugin ser apagado.
O detalhe que mais pesa: a falha não estava no site do dono. Segundo a Patchstack, em 19 de outubro nem a versão mais nova do plugin resolvia, porque os comandos chegavam assinados com chaves verdadeiras.
Em 28 de outubro saiu o WordPress 7.1.4, com 22 correções de segurança. Em 31 de outubro, a Wordfence relatou 60.471 tentativas bloqueadas em 24 horas contra uma dessas falhas, a que permite rodar código no servidor durante a atualização.
Por que isso é problema do dono, e não só do técnico
Site invadido pode continuar abrindo normalmente enquanto manda o visitante para golpe, ganha aviso de página perigosa no Google ou expõe o cadastro dos seus clientes. Se houver vazamento de dados de clientes, a LGPD pode responsabilizar a empresa dona do site.
O WordPress é o alvo preferido por uma questão de escala: segundo a W3Techs, ele roda em 39,5% de todos os sites do mundo (dado de 1º de novembro de 2026). Um único plugin popular abre a porta de milhões de sites de uma vez.
Como saber se o seu site corre risco
Cinco perguntas para fazer hoje a quem cuida do seu site. Se ninguém cuida, essa já é a resposta.
| Pergunta | Se a resposta for sim |
|---|---|
| O site é feito em WordPress? | Ele depende de plugins de terceiros e precisa de atualização constante |
| Tem o UpdraftPlus instalado? | Apagar as chaves do UpdraftCentral, mesmo que ninguém tenha usado o painel de propósito |
| Quem fez o site ainda cuida dele? | Se não, ninguém aplicou as correções de outubro |
| O site ficou fora do ar ou com erro em 18 e 19 de outubro? | Foi o sinal que as primeiras vítimas notaram: tratar como invadido |
| Apareceu usuário ou plugin que você não reconhece? | Restaurar uma cópia de antes de 17 de outubro e trocar todas as senhas |
Consertar ou reciclar o site
Se alguém atualiza o seu WordPress toda semana e ele roda com poucos plugins, vale consertar e seguir nele. Ninguém é obrigado a trocar de tecnologia.
Se ninguém cuida, se o site ficou lento ou se ele não traz cliente, outubro é a hora de reciclar. Reciclar é aproveitar o que já funciona (texto, fotos, endereços e a posição no Google) e levar para uma estrutura sem plugin, sem banco de dados exposto e sem painel de login aberto na internet. O site novo é montado só a partir do texto e das fotos, sem copiar os arquivos antigos, o que tira do caminho o que um invasor tenha deixado neles.
Com cada endereço antigo redirecionado para o novo, o normal é a posição no Google se manter, e o site fica mais rápido no celular, com medição antes e depois.
Fontes
Patchstack, "Stolen UpdraftCentral Keys Are Backdooring WordPress Sites", 19/10/2026. Cyber Security News, "Over 60,000 Attacks Target WordPress RCE Vulnerability Within 24 Hours", 31/10/2026, com dados da Wordfence. W3Techs, "Usage Statistics and Market Share of WordPress", 01/11/2026.
Meu site WordPress foi invadido em outubro de 2026?
Só uma verificação no site diz. Sinais comuns: site fora do ar ou com erro em 18 e 19 de outubro, plugin com nome desconhecido (como "Site Health Cache") e usuário novo com papel de editor. Na dúvida, trate como invadido.
Atualizar o WordPress resolve?
Resolve as 22 falhas corrigidas na versão 7.1.4. Não resolve o caso do UpdraftCentral: ali a correção é apagar as chaves de gestão remota, e a conta escondida criada antes continua no site até alguém removê-la.
Vale a pena sair do WordPress?
Vale para quem não tem ninguém cuidando do site toda semana. Para quem tem equipe e rotina de atualização, o WordPress continua sendo uma boa ferramenta.
Vou perder minha posição no Google se trocar o site?
Em geral não, desde que cada endereço antigo seja redirecionado para o novo com redirecionamento permanente. É esse cuidado que separa uma migração bem feita de uma que derruba o movimento do site.
Se a sua empresa tem site em WordPress e ninguém cuida dele hoje, peça a análise grátis no chat do site: em 30 minutos mostramos o que está visível por fora (velocidade, páginas e plugins) e dizemos se dá para consertar ou se vale reciclar. Sem custo e sem pedir a senha do site.