As vulnerabilidades do Divi se concentram em versões antigas e em add-ons de terceiros, não no tema atual. Segundo o NVD (2020), registrado em base oficial do NIST, a falha mais grave do Divi (CVSS 9.9) só afeta a versão 4.5.2 ou anterior. O catálogo público do Patchstack soma 7 falhas, todas já corrigidas. O risco real mora no Divi nulled.

As vulnerabilidades do Divi são um caso clássico de risco mal lido: a maioria das falhas históricas já foi corrigida pelo Elegant Themes, e o perigo de verdade quase nunca está no código oficial do tema. Em sites Divi que chegam ao suporte da FULL, o que a gente vê é tema pirata, plugin de terceiro abandonado e atualização travada há meses. Este conceito explica cada vetor com CVE real, separa risco atual de histórico e mostra como blindar o tema. Para o panorama completo do tema, os guias de vulnerabilidades WordPress da FULL dão o contexto do cluster.

O que são as vulnerabilidades do Divi na prática

As vulnerabilidades do Divi são falhas de segurança no tema premium da Elegant Themes ou nos add-ons que estendem o Divi Builder, e o catálogo público do Patchstack lista 7 dessas falhas ao longo dos anos, todas já corrigidas, com 0 sem patch ativo hoje. Ou seja: o Divi 5.x instalado e atualizado não tem brecha conhecida em aberto. O ponto cego é o que vive ao redor do tema.

O Divi é um framework de construção de páginas, não só um tema visual. Cada módulo, shortcode e campo de texto é uma porta de entrada potencial para XSS (cross-site scripting). Quanto mais recursos um tema WordPress carrega, maior a superfície de ataque. Por isso as vulnerabilidades do Divi tendem a aparecer em funções de input autenticado, e não em falhas de execução remota anônima. Entender essa natureza muda toda a estratégia de defesa.

As cves reais do Divi: Histórico corrigido, não risco atual

O Divi registra 2 CVEs de alto impacto, ambas já fechadas. A mais grave é a CVE-2020-35945, um arbitrary file upload autenticado com CVSS 9.9 que afeta o Divi até a 4.5.2 e foi corrigida na 4.5.3, segundo o NVD (NIST). Ela permitia subir arquivo arbitrário, incluindo backdoor PHP.

A segunda é a CVE-2024-4490, um stored XSS de nível contributor com CVSS 6.5 que afeta o Divi até 4.25.0 e foi corrigida na 4.25.1, conforme o NVD (NIST). Repare na assinatura comum: as vulnerabilidades do Divi exigem um usuário já autenticado, o que reduz o risco em sites com poucos editores e eleva o alerta em agências com muitos acessos. Plugin com vários CVEs corrigidos é sinal de auditoria ativa, não de produto frágil. Como CNA (CVE Numbering Authority) brasileira sob a CISA desde 2022, a FULL cataloga falhas assim no padrão oficial.

Por que o Divi nulled é a maior das vulnerabilidades do Divi

O Divi nulled é, de longe, o vetor mais perigoso, e ele nem aparece nas 7 falhas catalogadas no Patchstack, porque não está no código oficial. Uma cópia pirata de repositório não oficial costuma vir com backdoor PHP injetado no próprio tema, e o usuário acha que economizou a licença anual, mas instala um malware que envia credenciais para fora sem nenhum erro visível no painel.

A cadeia é direta: Divi nulled de fonte não oficial, somado a auto-update desativado, resulta em backdoor persistente que sobrevive a limpezas superficiais. Em sites herdados de agência, a gente vê isso no suporte da FULL. A correção raiz é trocar o nulled pela licença legítima do Divi e rodar remoção de malware completa, com o passo a passo de como remover malware do WordPress. Sem essa troca, qualquer outra defesa é cosmética.

O risco escondido: Add-ons de terceiros do Divi sem manutenção

O segundo vetor mais comum das vulnerabilidades do Divi não está no tema, e sim nos add-ons que ampliam o Divi Builder, onde 1 extensão abandonada já basta para abrir uma brecha. Plugins como DiviTorque e dezenas de pacotes de módulos avulsos adicionam recursos, mas muitos param de receber atualização. O Divi se atualiza sozinho; o add-on fica preso numa versão antiga com XSS armazenado que ninguém monitora.

O mecanismo causal é claro: Divi com add-on de terceiro abandonado, somado a permissão de editor para vários usuários, abre uma superfície de XSS armazenado fora do controle do Elegant Themes. A defesa não é remover o Divi, é auditar o que orbita ele. Liste todo plugin que depende do Divi Builder, confira a data do último update e a nota no repositório, e descarte o que não atende. O processo correto de update está em como atualizar corretamente os plugins do WordPress. Add-on sem manutenção é dívida de segurança que vence sozinha.

Divi versus o ecossistema: Onde o tema se posiciona em risco

O Divi compete por densidade de recursos visuais, com mais de 40 módulos, e essa escolha define seu perfil de risco: mais código executável e mais superfície de input que builders enxutos. O Elementor compete por mercado de plugins, com mais CVEs por volume de instalação; o Gutenberg nativo compete por leveza e tem a menor superfície. Quem quer entender a troca pode comparar em Elementor vs Divi.

A tabela abaixo resume o perfil de segurança das vulnerabilidades do Divi frente ao que importa na decisão. O dado de CVE vem do Patchstack e do NVD; a leitura de prioridade é qualitativa, com base no que a gente vê no suporte da FULL.

Como blindar contra as vulnerabilidades do Divi em 5 camadas

Fechar as vulnerabilidades do Divi exige 5 camadas defensivas, não uma única ação. A primeira é higiene de origem: usar só a licença oficial do Divi, nunca nulled. A segunda é update automático ativo, que sozinho elimina as CVE-2020-35945 e CVE-2024-4490, já corrigidas em 4.5.3 e 4.25.1. A terceira é auditoria de add-ons, removendo qualquer extensão do Divi Builder sem update recente.

A quarta camada é um firewall de aplicação. Segundo o Cloudflare Radar, nos últimos dias no Brasil 16,4% dos ataques de camada de aplicação foram mitigados por WAF. O All in One Security entrega WAF e hardening de login sem custo avulso. A quinta é backup automático, configurável em backup WordPress automático. Para escanear o site agora, o FULL Scan verifica tema e plugins contra a base de CVEs sem instalar nada.

Quanto custa proteger um site Divi com o bundle da FULL

Blindar um site Divi com ferramentas avulsas soma licenças caras; no bundle FULL, o custo cai para R$85 por site. O plano PRO da FULL custa R$849 e inclui o All in One Security, o WP Rocket e mais 15 plugins premium para até 10 sites, o que dá os tais R$85 por site. Em vez de pagar firewall, backup e otimização separados, a gente entrega o pacote gerenciado em FULL.services/planos. Para sites Divi em produção, essa é a forma mais direta de fechar as 5 camadas de uma vez, com atualização e monitoramento de CVE inclusos.

As vulnerabilidades do Divi caíram de um histórico de 7 falhas catalogadas entre 2020 e 2025 para 0 brechas sem patch em 2026, prova de que manutenção ativa funciona. A diferença entre um site Divi seguro e um comprometido não é o tema: é a disciplina de origem legítima, update automático e auditoria de add-ons. Para aprofundar em defesa de WordPress, o guia de segurança para WordPress reúne os tutoriais do tema, e o FULL Academy centraliza todo o material de aprendizado.

Legenda: manter o auto-update do Divi ligado fecha sozinho as duas CVEs históricas de maior gravidade.

Perguntas frequentes sobre as vulnerabilidades do Divi