A segurança do WordPress é importante!
🇺🇸 A massive supply chain attack just hit over 1.2 million WordPress websites, and the lessons are loud and clear: even deactivated plugins can leave you wide open. If you run a site (or host them for clients), this is your wake-up call to tighten up security before the next breach.
🔥 The attack targeted three popular marketing plugins — OptinMonster, TrustPulse, and PushEngage. Hackers didn’t hit the plugins directly. They compromised external scripts these plugins loaded. When an admin logged in, the malicious code got full administrator access.
🛡️ Attackers weren’t just messing around — they installed hidden backdoors for long-term control:
- Contas de administrador sorrateiras (como developer_api1 ou wpsecurebot)
- Malware oculto no painel
- Spam de SEO, atualizações falsas de navegador e até mineradores de criptografia
Conclusão importante: excluir ou desativar um plug-in não é suficiente. Se alguma vez foi instalado, faça uma varredura completa.
Como verificar e limpar seu site WordPress
- Revise as contas de administrador – não confie apenas na página Usuários. Verifique a tabela do banco de dados wp_users (ou use WP-CLI) para administradores desconhecidos.
- Inspecione as pastas de plug-ins - Procure em wp-content/plugins/ e wp-content/mu-plugins/ por algo suspeito.
- Alterar tudo – redefina todas as senhas de administrador, regenere sais, atualize senhas de banco de dados e alterne chaves de API.
Práticas de segurança inteligentes daqui para frente
- Exclua completamente plug-ins e temas não utilizados – Desativado ≠ seguro.
- Use um plugin de registro de atividades sólido (como WP Activity Log) para monitorar as alterações.
- Adicione autenticação de dois fatores e proteção de força bruta.
- Mantenha tudo atualizado e execute verificações regulares de malware.
🇺🇸 America-first take: In a digital world full of threats, real security comes from ownership and vigilance — not trusting third-party scripts or “set it and forget it” plugins. Self-hosted WordPress on reliable hosting (with server-level protections) gives you the control you need to protect your business and data.
Provedores de hospedagem como HostRite adicionam camadas extras (isolamento do Jail Host, backups diários, bloqueio no nível do servidor), mas o proprietário do site ainda precisa fazer sua parte.
O que vocês acham? Foi atingido por algo assim ou recebeu fortes dicas de segurança para usuários do WordPress? Compartilhe abaixo!
