# Ataque ao WordPress em outubro de 2026: o que o dono de empresa precisa fazer

> Em outubro de 2026, invasores instalaram portas dos fundos em sites WordPress conectados ao UpdraftCentral, serviço que vem dentro do UpdraftPlus, plugin de backup com mais de 4 milhões de instalações. Em 28 de outubro, numa frente separada, o WordPress corrigiu 22 falhas de segurança. Se a sua empresa tem site em WordPress, o primeiro passo é saber quem cuida dele hoje.

Fonte: Nimbo, https://nimbomarketing.com.br/artigos/ataque-wordpress-outubro-2026-o-que-fazer/
Autor: Leandro Rudner (fundador da Nimbo)
Publicado em: 2026-11-01

## O que aconteceu, em datas

Em 18 de outubro de 2026, às 15h32, a empresa de segurança Patchstack registrou a primeira instalação de uma porta dos fundos num site WordPress. A campanha durou cerca de 18 horas. O invasor tinha chaves válidas do UpdraftCentral, o painel de gestão remota que vem embutido em toda cópia do UpdraftPlus, e com elas mandou cada site instalar um plugin falso.

O plugin falso criava uma conta escondida com cara de editor e poder de administrador. A entrada não passava pela tela de login, então senha forte e verificação em duas etapas não impediam. A conta continuava no site mesmo depois de o plugin ser apagado.

O detalhe que mais pesa: a falha não estava no site do dono. Segundo a Patchstack, em 19 de outubro nem a versão mais nova do plugin resolvia, porque os comandos chegavam assinados com chaves verdadeiras.

Em 28 de outubro saiu o WordPress 7.1.4, com 22 correções de segurança. Em 31 de outubro, a Wordfence relatou 60.471 tentativas bloqueadas em 24 horas contra uma dessas falhas, a que permite rodar código no servidor durante a atualização.

## Por que isso é problema do dono, e não só do técnico

Site invadido pode continuar abrindo normalmente enquanto manda o visitante para golpe, ganha aviso de página perigosa no Google ou expõe o cadastro dos seus clientes. Se houver vazamento de dados de clientes, a LGPD pode responsabilizar a empresa dona do site.

O WordPress é o alvo preferido por uma questão de escala: segundo a W3Techs, ele roda em 39,5% de todos os sites do mundo (dado de 1º de novembro de 2026). Um único plugin popular abre a porta de milhões de sites de uma vez.

## Como saber se o seu site corre risco

Cinco perguntas para fazer hoje a quem cuida do seu site. Se ninguém cuida, essa já é a resposta.

| Pergunta | Se a resposta for sim |
| --- | --- |
| O site é feito em WordPress? | Ele depende de plugins de terceiros e precisa de atualização constante |
| Tem o UpdraftPlus instalado? | Apagar as chaves do UpdraftCentral, mesmo que ninguém tenha usado o painel de propósito |
| Quem fez o site ainda cuida dele? | Se não, ninguém aplicou as correções de outubro |
| O site ficou fora do ar ou com erro em 18 e 19 de outubro? | Foi o sinal que as primeiras vítimas notaram: tratar como invadido |
| Apareceu usuário ou plugin que você não reconhece? | Restaurar uma cópia de antes de 17 de outubro e trocar todas as senhas |

## Consertar ou reciclar o site

Se alguém atualiza o seu WordPress toda semana e ele roda com poucos plugins, vale consertar e seguir nele. Ninguém é obrigado a trocar de tecnologia.

Se ninguém cuida, se o site ficou lento ou se ele não traz cliente, outubro é a hora de reciclar. Reciclar é aproveitar o que já funciona (texto, fotos, endereços e a posição no Google) e levar para uma estrutura sem plugin, sem banco de dados exposto e sem painel de login aberto na internet. O site novo é montado só a partir do texto e das fotos, sem copiar os arquivos antigos, o que tira do caminho o que um invasor tenha deixado neles.

Com cada endereço antigo redirecionado para o novo, o normal é a posição no Google se manter, e o site fica mais rápido no celular, com medição antes e depois.

## Fontes

Patchstack, "Stolen UpdraftCentral Keys Are Backdooring WordPress Sites", 19/10/2026. Cyber Security News, "Over 60,000 Attacks Target WordPress RCE Vulnerability Within 24 Hours", 31/10/2026, com dados da Wordfence. W3Techs, "Usage Statistics and Market Share of WordPress", 01/11/2026.

## Perguntas frequentes

### Meu site WordPress foi invadido em outubro de 2026?

Só uma verificação no site diz. Sinais comuns: site fora do ar ou com erro em 18 e 19 de outubro, plugin com nome desconhecido (como "Site Health Cache") e usuário novo com papel de editor. Na dúvida, trate como invadido.

### Atualizar o WordPress resolve?

Resolve as 22 falhas corrigidas na versão 7.1.4. Não resolve o caso do UpdraftCentral: ali a correção é apagar as chaves de gestão remota, e a conta escondida criada antes continua no site até alguém removê-la.

### Vale a pena sair do WordPress?

Vale para quem não tem ninguém cuidando do site toda semana. Para quem tem equipe e rotina de atualização, o WordPress continua sendo uma boa ferramenta.

### Vou perder minha posição no Google se trocar o site?

Em geral não, desde que cada endereço antigo seja redirecionado para o novo com redirecionamento permanente. É esse cuidado que separa uma migração bem feita de uma que derruba o movimento do site.

## Em resumo

Se a sua empresa tem site em WordPress e ninguém cuida dele hoje, peça a análise grátis no chat do site: em 30 minutos mostramos o que está visível por fora (velocidade, páginas e plugins) e dizemos se dá para consertar ou se vale reciclar. Sem custo e sem pedir a senha do site.

---
Nimbo. Marketing e Engenharia em I.A para pequenos e médios negócios. https://nimbomarketing.com.br