O plugin vulnerável do seu site provavelmente é o seu page builder

Quando um site tem um plugin com vulnerabilidade conhecida, eu costumava imaginar alguma coisa abandonada, instalada em 2019 e esquecida. Depois de passar os findings de vulnerabilidade dos sites que a gente acompanha, tive que largar essa imagem. O que é vulnerável é o oposto de obscuro. São os plugins que todo mundo instala de propósito.

37% dos sites tinham pelo menos um componente com um CVE publicado. Não um risco teórico — um buraco conhecido, com número do lado. E quando ordenei pelo que estava realmente vulnerável, as mesmas poucas famílias apareciam de novo e de novo: page builders e os addons que as pessoas empilham em cima deles.

Os piores eram os nomes grandes

Uma amostra do que estava rodando ao vivo, com a contagem de vulnerabilidades conhecidas de cada um:

Componente	Vulns conhecidas	Críticas
Jet Engine (3.7.7)	30	23
Newsletter (6.7.3)	21	4
Simply Schedule Appointments (1.6.12)	18	8
Slider Revolution (6.6.12)	16	3
WPBakery / js_composer (6.10.0)	16	1
Royal Elementor Addons (1.7.1068)	9	1

Um Jet Engine com trinta vulnerabilidades conhecidas, vinte e três delas críticas, num site ao vivo atendendo clientes. Não é um caso de canto que fui procurar. Simplesmente estava lá.

Sempre volta pro Elementor

Nenhum plugin apareceu em mais sites do que o ecossistema Elementor. Não só o Elementor e o Elementor Pro — toda a órbita em volta: Royal Elementor Addons, Essential Addons, “Addons for Elementor”. Cada um que você instala é outro fornecedor, outra cadência de update, outro feed de CVE do qual você agora é responsável.

O Divi vinha logo atrás, em algumas versões. O Astra apareceu em vários sites, cada um sinalizado com uma crítica no próprio tema. E um punhado de sites estava num core do WordPress trinta e tantos avisos atrás — o tipo de buraco que só abre quando o auto-update está desligado e ninguém está olhando.

Por que o chique é justamente o perigoso

Faz sentido quando você diz em voz alta. Um page builder é uma montanha de código com uma superfície de ataque enorme, e o marketplace de addons multiplica essa superfície por cada extensão que você parafusa. Aí duas coisas acontecem: plugins premium não se atualizam sozinhos por padrão, e as licenças vencem no silêncio, então o update que corrige o CVE nunca instala. O plugin continua funcionando. Só para de ser consertado.

O resultado é exatamente o que vimos — as ferramentas mais capazes e mais populares, uma ou duas versões atrás, carregando buracos que foram corrigidos meses atrás num release que ninguém aplicou.

O que fazer de verdade

• Audite contra uma lista de CVE, não o selo de “atualização disponível”. Um plugin pode estar “atualizado” no seu painel e ainda ser a última versão vulnerável. Você precisa checar a versão contra os avisos conhecidos, que é outra pergunta.
• Apague os addons que você não usa. Cada addon de Elementor que você não está renderizando ativamente é risco puro, sem contrapartida. A faxina de segurança mais rápida na maioria dos sites é desinstalar coisas.
• Mantenha as licenças premium ativas. Uma licença vencida não é só suporte perdido — é o motivo do patch de segurança nunca chegar.

O Site Doctor checa cada plugin, tema e o core contra uma base de vulnerabilidades atual em cada scan, read-only, e te diz qual versão específica está exposta e quão grave. Mas a versão de cinco minutos é de graça: liste seus plugins, anote as versões e procure cada um. Os nomes que voltam costumam ser os que você nunca suspeitaria, justamente porque você confia neles.