O que encontramos escaneando 99 sites WordPress reais

O Site Doctor checa pra gente quase cem sites WordPress ao vivo, todo dia. Consultórios de dentista, uns escritórios de advocacia, uma publicação, algumas empresas de reforma. Sites sem graça, na maioria. Do tipo que ninguém lembra que existe até alguma coisa quebrar.

Semana passada juntei o último scan de todos num lugar só pra ver como estava a pilha. Esperava o barulho de sempre: plugin desatualizado. Algumas coisas me surpreenderam.

A versão curta: 62% estavam sem security headers, 37% rodavam um plugin, tema ou core com CVE conhecido, e três serviam um script que mandava dados pra fora da página sem ninguém ver. Esse último é um skimmer de cartão, e nenhum dos donos desses três sites fazia ideia.

Nada disso veio de logar em lugar nenhum. O Site Doctor olha cada site de fora, num navegador de verdade, com um conector read-only que não encosta num arquivo. Então isso é o que o navegador do visitante vê — não o que um plugin rodando no servidor diz que está tudo bem.

Os números crus

O que vimos	Sites	De 99
Faltando pelo menos um security header	61	62%
Puxando conteúdo de hosts de terceiros (de 1 a 11)	78	79%
Rodando algo com vulnerabilidade conhecida	37	37%
Iframe escondido ou cross-origin na página	11	11%
Script ofuscado exfiltrando dados (skimmer)	3	3%

Security headers: a coisa de graça que quase ninguém faz

62% sem pelo menos um. E o caso mais comum não era um header faltando — eram cinco de uma vez, em 29 sites. São os headers de resposta que dizem pro navegador não deixar sua página ser enquadrada, não adivinhar tipo de conteúdo, não carregar conteúdo misto: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Strict-Transport-Security.

Não custam nada. Você configura uma vez e esquece. E dois terços de sites reais, de empresas que mantêm seus sites, simplesmente não têm, porque nada quebra na cara quando faltam. É essa a armadilha dos headers: o dia em que eles importam é o dia em que você já precisava deles.

O que estava vulnerável era mainstream

Eu sempre espero que os 37% vulneráveis estejam rodando algum plugin abandonado de 2019. Quase nunca é. Os nomes que se repetiam eram os que todo mundo usa: um bug crítico no tema Astra, uns CVEs do Elementor, quatro problemas conhecidos no Divi, e alguns sites num core com mais de uma dúzia de avisos sem patch.

Somando nos 37 sites, dá 39 findings críticos e 40 de aviso. Não é nada exótico. É o stack padrão de um WordPress moderno, deixado um ou dois updates pra trás.

Os três que me tiram o sono

Três sites rodavam um script inline ofuscado que manda dados pra fora. Num site que recebe pagamento, isso é um breach acontecendo agora, na frente de cada cliente no checkout.

E é por isso que importa ter pego de fora: um scanner no servidor lê arquivos e linhas de banco. Esse código nunca está num arquivo que o scanner lê — ele roda no navegador do visitante, injetado na página renderizada. Então o plugin diz “limpo” e está falando a verdade, enquanto a página rouba as pessoas. A gente desmontou um desses tempos atrás, se quiser ver as tripas de um.

Se você administra WordPress, faça três coisas

Confira seus headers de resposta. Audite cada plugin e tema contra uma lista de CVE atual, não só o selo de “atualização disponível”. E olhe o que realmente roda na página renderizada, não só o que está no disco. Essas três cobrem a maior parte do que apareceu aqui.

É esse o trabalho que o Site Doctor faz, read-only, e devolve a lista ordenada pelo que vai te morder primeiro. Mas dá pra começar hoje à tarde com um curl e a aba de rede do navegador — o problema não é a ferramenta, é que quase ninguém olha.