WooCommerce + WordPress: as vulnerabilidades mais exploradas e como blindar sua loja agora

O cenário de segurança do WordPress/WooCommerce

O WordPress alimenta mais de 40% da web e é, por isso mesmo, o alvo mais popular de hackers automatizados. Não se trata de ataques sofisticados direcionados à sua loja especificamente — são bots escaneando milhares de sites por minuto, procurando por padrões conhecidos de vulnerabilidade.

Uma loja WooCommerce comprometida tem consequências sérias: roubo de dados de clientes (nome, endereço, histórico de compras), redirecionamento de tráfego para sites de phishing, instalação de malware que usa o servidor para enviar spam, deindex pelo Google por conteúdo malicioso detectado.

1. Versões desatualizadas do WordPress, WooCommerce e plugins

A vulnerabilidade mais explorada é a mais simples: software desatualizado. Quando um pesquisador de segurança ou hacker descobre uma falha em um plugin popular, a exploração automática começa em horas após a divulgação pública.

Plugins com falhas críticas conhecidas incluem: Elementor (XSS e CSRF), Contact Form 7 (upload arbitrário), WooCommerce Stripe Gateway (vazamento de dados) — a maioria já corrigida nas versões mais recentes, mas instalações antigas continuam vulneráveis.

Ação imediata: Ative atualizações automáticas para WordPress core. Para plugins, configure um processo de atualização semanal com teste em staging antes de aplicar em produção.

2. Credenciais de admin fracas e exposição do wp-admin

O WordPress expõe o login de administração em /wp-admin e /wp-login.php por padrão. Bots de brute force testam combinações de usuário/senha conhecidas (admin/admin, admin/123456, etc.) continuamente.

Proteções eficazes (em ordem de impacto):

• Ativar autenticação de dois fatores (2FA) no wp-admin — o mais eficaz de todos
• Limitar tentativas de login (plugin Limit Login Attempts Reloaded)
• Mudar o nome de usuário "admin" para algo único
• Bloquear o acesso ao wp-login.php por IP se você acessa de localização fixa
• Adicionar HTTP Basic Auth na pasta wp-admin via .htaccess

3. Uploads sem restrição e permissões incorretas

Se o WordPress está configurado para aceitar uploads sem restrição de tipo de arquivo, um atacante pode fazer upload de um arquivo PHP malicioso pela interface de upload de mídia e executar código no servidor.

# No functions.php ou plugin de segurança — bloquear uploads de PHP
function bloquear_upload_php($types, $file, $filename, $mimes) {
    if (preg_match('/\.(php|phtml|php3|php4|php5|phps)$/i', $filename)) {
        $types['ext'] = false;
        $types['type'] = false;
    }
    return $types;
}
add_filter('wp_check_filetype_and_ext', 'bloquear_upload_php', 10, 4);

Além disso, verifique as permissões de pasta no servidor. A pasta wp-content/uploads não deve ter permissão de execução de PHP. Configure no .htaccess da pasta:

php_flag engine off

4. Plugins abandonados e temas nulled

Plugins abandonados são aqueles sem atualização há mais de 12 meses. Se um plugin é popular mas não tem mais manutenção ativa, novas vulnerabilidades descobertas nunca serão corrigidas. Verifique no repositório WordPress o histórico de atualizações de cada plugin que você usa.

Temas e plugins "nulled" (pirata) são a segunda causa mais comum de comprometimento. Esses arquivos frequentemente contêm backdoors inseridos por quem os distribui gratuitamente. Nunca instale software WordPress de fontes não oficiais.

Checklist de segurança essencial