Um plugin de WordPress abandonado não derruba o seu site de um dia para o outro: ele continua funcionando, e é justamente isso que o torna perigoso. No dia em que alguém encontra uma falha nele, ninguém corrige e nada avisa você. Este artigo explica, a partir de três casos reais, por que o risco é maior do que parece, mostra como encontrar em dez minutos os plugins afetados no seu site e como decidir o que fazer com eles.
Para o procedimento de substituição em si (backup, exportação dos dados, migração, limpeza), siga nosso guia plugins abandonados ou fechados: como identificar e substituir.
Abandonado, fechado, vendido: três riscos diferentes
| Situação | O que você vê | O risco | Exemplo |
|---|---|---|---|
| Abandonado | Sem atualização há anos, aviso “não testado com as 3 últimas versões principais” | Uma falha futura nunca será corrigida | Milhares de plugins do diretório |
| Fechado | Faixa vermelha no WordPress.org, nenhuma atualização no seu Painel | Falha muitas vezes já conhecida, plugin ainda ativo no seu site | Kaswara (2021) |
| Vendido | Novo autor, atualizações que voltam após um longo silêncio | Código malicioso entregue por uma atualização normal | Display Widgets (2017), EssentialPlugin (2026) |
Por que um plugin abandonado se torna perigoso
Num plugin mantido, uma falha relatada é corrigida, publicada junto com a correção, e as suas atualizações protegem você. Num plugin abandonado, a cadeia para no meio do caminho: o pesquisador relata a falha, não recebe resposta, e a base de vulnerabilidades a publica mesmo assim para alertar os usuários. A partir daí, os robôs sabem o que procurar, e o seu site não tem nenhuma correção para instalar.
- O fechamento não remove nada do seu site: o WordPress.org para de distribuir o plugin, mas ele continua instalado e ativo no seu site. Como nenhuma versão nova vai chegar, o Painel não mostra nenhum alerta.
- O motivo fica oculto por 60 dias: a razão do fechamento (“Security Issue”, “Guideline Violation”, “Author Request”) só aparece na página depois desse prazo, para dar tempo de corrigir.
- Desativar não basta: os arquivos de um plugin desativado continuam no servidor. Uma falha de upload ou de inclusão de arquivos muitas vezes pode ser explorada chamando esses arquivos diretamente.
- Ele trava o resto: um plugin que não acompanha mais o PHP obriga você a manter uma versão do PHP sem suporte, o que enfraquece o site inteiro.
Três casos reais
Kaswara Modern WPBakery Page Builder Addons: fechado sem correção
Este plugin tinha uma falha de upload de arquivos sem autenticação (CVE-2021-24284, nota CVSS 10 de 10): qualquer pessoa podia enviar um arquivo PHP e assumir o controle do site. O plugin foi fechado sem correção, então todas as suas versões continuavam vulneráveis. Em julho de 2022, a Wordfence observou uma onda de ataques contra quase 1,6 milhão de sites, com média de 443.868 tentativas por dia nos sites que protegia. Ela estimava que entre 4.000 e 8.000 sites ainda tinham o plugin instalado, mais de um ano após a publicação da falha. A recomendação: removê-lo por completo, mesmo desativado.
Display Widgets: a venda que publicava spam
Em 2017, este plugin, instalado em cerca de 200.000 sites, é vendido pelo autor. As versões 2.6.1 a 2.6.3, publicadas pelo novo dono, contêm um código que permite a ele publicar conteúdo nos sites, invisível para os administradores logados, usado para espalhar spam. O WordPress.org o retira do diretório várias vezes, a última em 8 de setembro de 2017. O plugin não estava abandonado no sentido estrito: tinha mudado de mãos, e a confiança conquistada pelo antigo autor serviu de cavalo de Troia.
EssentialPlugin: 31 plugins fechados no mesmo dia
Em 2025, um comprador adquire o portfólio EssentialPlugin, cerca de trinta plugins com centenas de milhares de instalações. Uma atualização de agosto de 2025 insere um backdoor, que fica inativo por meses. No início de abril de 2026, ele é ativado: baixa um arquivo que injeta código no wp-config.php e mostra páginas de spam apenas ao robô do Google. Em 7 de abril de 2026, o WordPress.org fecha os 31 plugins por “Security Issue” e envia uma atualização que corta o backdoor, sem limpar o wp-config.php. Os sites cujos donos não verificaram o final desse arquivo continuaram infectados.
O ponto comum desses três casos: o dono do site não fez nada de errado, a não ser manter um plugin sem acompanhar quem cuidava dele. Para uma visão mais ampla dos plugins comprometidos pela cadeia de distribuição, veja os ataques à cadeia de suprimentos.
Encontre os plugins de risco em dez minutos
No Painel, a tela Plugins não mostra nem a data da última atualização nem o fechamento. A API pública do WordPress.org mostra. Com acesso SSH e WP-CLI, este laço consulta a API para cada plugin instalado:
for slug in $(wp plugin list --field=name); do
r=$(curl -s "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request%5Bslug%5D=$slug&request%5Bfields%5D%5Bsections%5D=0")
echo "$slug : $(echo "$r" | grep -o '"closed_date":"[^"]*"\|"last_updated":"[^"]*"\|"error":"[^"]*"' | head -2 | tr '\n' ' ')"
doneLeia o resultado assim:
"error":"closed"com uma data: o plugin está fechado. Abra a página dele no WordPress.org para ver o motivo."last_updated"com mais de dois anos: considere-o abandonado, é o limite usado pela Wordfence."Plugin not found.": plugin comercial ou instalado manualmente. Verifique a data no site do desenvolvedor e a sua licença.
Sem SSH, abra a página de cada plugin no WordPress.org: faixa vermelha (fechado), faixa amarela (não testado com as três últimas versões principais), data da última atualização e aba Suporte (perguntas sem resposta há meses são mau sinal). Faça o mesmo com os temas, que seguem as mesmas regras.
Manter, substituir ou excluir: a tabela de decisão
| Sinal | Gravidade | Decisão | Prazo |
|---|---|---|---|
| Fechado por “Security Issue” | Crítica | Excluir, substituir, verificar o site | Hoje |
| Falha publicada sem correção | Crítica a alta | Excluir, ou desativar até ter o substituto | Hoje |
| Fechado, motivo ainda desconhecido | Alta | Desativar se possível, preparar a substituição | Esta semana |
| Novo dono, volta repentina das atualizações | Acompanhar | Ler o changelog, seguir os alertas | A cada atualização |
| Sem atualização há mais de dois anos | Média | Planejar a substituição | Neste trimestre |
| Função que cabe em poucas linhas | Baixa | Substituir por um pequeno código mantido por você | Quando der |
Depois de excluir um plugin fechado por motivo de segurança, não pare por aí: ele pode ter sido explorado antes. Verifique o site com nosso guia para detectar se um site WordPress foi invadido.
O que o WP Masquerade Pro monitora para você
Repetir essa verificação toda semana em cada site não é realista. O WP Masquerade Pro faz isso todos os dias:
- Alertas de vulnerabilidades: as versões instaladas de plugins, temas e do WordPress, ativos ou não, são comparadas com as falhas conhecidas da base aberta WPVulnerability.net. Cada falha é explicada (gravidade, quem pode explorá-la, versão corrigida) com o que fazer, e um e-mail é enviado assim que uma nova aparece.
- Plugins fechados: os plugins fechados no WordPress.org, que não recebem mais atualizações por lá, são sinalizados.
- Vários sites: a área de membros mostra as atualizações pendentes e o número de falhas conhecidas de cada site, com os vulneráveis no topo, e um resumo toda segunda-feira.
- Menos exposição: a versão gratuita remove os comentários e tags que denunciam os seus plugins, e o Pro pode renomear os endereços dos arquivos para que robôs que procuram uma pasta de plugin específica a encontrem com mais dificuldade.
Sejamos claros sobre os limites: um alerta informa, não corrige nada. Ocultar um plugin vulnerável reduz os ataques automatizados, mas não elimina a falha. Plugins fora do WordPress.org não são verificados. Se você não puder excluir um plugin vulnerável na hora, um serviço de correções virtuais como o Patchstack pode bloquear a exploração enquanto isso (veja Patchstack e WP Masquerade).
Perguntas frequentes
Quando um plugin é considerado abandonado?
Não há definição oficial. O WordPress.org mostra um aviso quando ele não foi testado com as três últimas versões principais, e a Wordfence o considera abandonado após dois anos sem atualização.
Um plugin desativado ainda é perigoso?
Sim, enquanto os arquivos dele estiverem no servidor. Algumas falhas são exploradas chamando esses arquivos diretamente. Exclua o que você não usa.
Por que o WordPress não remove os plugins fechados dos sites?
O diretório para a distribuição, mas não altera os sites, exceto em casos graves em que envia uma atualização forçada, como com o EssentialPlugin em 2026. A remoção fica por sua conta.
Posso assumir eu mesmo o código de um plugin abandonado?
Para um plugin pequeno, é possível, se você souber auditar e manter o código. Renomeie a pasta dele para que uma atualização de um eventual novo dono não a sobrescreva, e acompanhe você mesmo as falhas.
Para lembrar
- Um plugin abandonado nunca vai receber a correção da sua próxima falha.
- Um plugin fechado continua ativo no seu site, sem nenhum alerta no Painel.
- Uma venda pode transformar um plugin confiável em backdoor.
- A API do WordPress.org revela com um único comando os plugins fechados ou parados.
- Exclua em vez de apenas desativar, e verifique o site após um fechamento por segurança.
Saiba todos os dias quais plugins vigiar
O WP Masquerade Pro alerta você sobre falhas conhecidas e plugins fechados em cada um dos seus sites e reúne as atualizações pendentes na sua área de membros. A partir de 59 € (sem impostos) por ano para um site, 149 € para dez.
Fontes
- Wordfence: ataques ao Modern WPBakery Page Builder Addons (link externo, abre em uma nova aba)
- Wordfence: Display Widgets publica spam (link externo, abre em uma nova aba)
- BleepingComputer: a suíte EssentialPlugin invadida (link externo, abre em uma nova aba)
- WordPress Developer: Alerts and Warnings (link externo, abre em uma nova aba)
