| Tipo de risco | O que a falha permite | Defesa direta |
|---|---|---|
| CVE sem patch | Manipular dados via função vulnerável em versão antiga | Atualizar para a versão corrigida (12.1.1+) |
| Módulo ocioso | Expor endpoint de recurso que o site não usa | Desligar módulos não usados no painel |
| Sem WAF na frente | Exploração automatizada horas após a divulgação | Firewall de aplicação ativo (AIOS/Wordfence) |
Legenda: cada módulo ativo do Jetpack é um endpoint a mais na superfície de ataque do site.
## Cves reais do Jetpack: O que está corrigido e o que ainda pesa Os CVEs por trás das vulnerabilidades do Jetpack mostram um padrão claro: as falhas mais graves já receberam patch. A mais relevante é a CVE-2023-2996, com CVSS 8.8 (alto), que afetava todas as versões abaixo da 12.1.1 e foi corrigida em 2023. Logo abaixo vem a CVE-2023-45050, com CVSS 6.5 (médio), também já corrigida. Nenhuma dessas é o risco de hoje: o risco atual é o site que ficou para trás na atualização e roda uma versão exposta. Por isso a leitura correta de um CVE com patch é "prova de que foi auditado e fechado", não "perigo ativo". A FULL é a única empresa brasileira credenciada como CNA (CVE Numbering Authority) sob a CISA desde 2022, ou seja, cataloga oficialmente vulnerabilidades como essas. Quem escreve aqui lida com CVE como rotina técnica, não como teoria distante. ## Por que o histórico de cves engana na avaliação de risco O histórico de vulnerabilidades do Jetpack engana porque mistura duas coisas distintas: o que já foi corrigido e o que ainda está aberto. Das 46 CVEs catalogadas, segundo o perfil público do WPVulnerability, apenas uma figura como exposição recente sem patch e zero são críticas. Um plugin com muitos CVEs todos fechados tende a ser mais confiável que um plugin obscuro com zero CVEs, porque significa que há gente auditando o código. A confusão aparece quando uma matéria soma o histórico inteiro e trata tudo como ameaça presente, o que assusta sem motivo. O que realmente importa é a distância entre a versão instalada e a última corrigida: quanto maior essa distância, maior a janela aberta. Para acompanhar isso de forma estruturada, vale entender como monitorar CVE de plugins WordPress e cruzar o aviso com a versão real do site. ## A superfície de ataque dos módulos ociosos do Jetpack A maior das vulnerabilidades do Jetpack não está num CVE: está nos módulos que ficam ligados sem uso. O plugin chega com dezenas de módulos, e a maioria dos sites ativa só o backup ou as estatísticas e ignora o resto, que continua rodando e exposto. Cada módulo ativo registra rotas REST e ações AJAX próprias, e uma falha em qualquer uma delas vira porta de entrada mesmo que o recurso nunca seja usado pelo administrador. Nos testes que a gente faz no suporte, desligar os módulos ociosos reduz de forma relevante a área exposta sem afetar o que o site usa de fato. A regra prática é simples: módulo que você não consegue explicar para que serve deve ser desligado. Quem usa o Jetpack só pelo backup tende a ganhar segurança migrando para backup WordPress automático dedicado. ## As 5 camadas que reduzem o risco do Jetpack Reduzir as vulnerabilidades do Jetpack exige cinco camadas que trabalham juntas, não uma bala de prata. Em ordem de impacto: manter o plugin atualizado fecha os CVEs conhecidos; desligar módulos ociosos encolhe a superfície; um firewall filtra exploração automatizada; backup testado garante recuperação; e o monitoramento de CVE avisa antes do ataque. Segundo o Cloudflare Radar, nos dados de 2026-06-09 para o Brasil, 16,4% dos ataques de camada de aplicação são mitigados por WAF, o que justifica manter o firewall na frente do plugin. As camadas se apoiam: backup sem firewall só remedia o estrago; firewall sem atualização tapa um buraco e deixa outro aberto; e monitoramento sem backup avisa do incêndio sem dar como apagar. Nenhuma sozinha resolve, mas as cinco juntas cobrem o ciclo de prevenir, bloquear e recuperar. Vale confirmar a versão com as ferramentas para verificar vulnerabilidades no WordPress antes de seguir. ## Atualização e desativação de módulos como base A base de defesa contra as vulnerabilidades do Jetpack é a dupla atualizar e desativar. Atualizar para a 12.1.1 ou superior fecha a CVE-2023-2996 e as demais já corrigidas; manter o auto-update ligado fecha as próximas sem depender de memória humana. Em paralelo, abrir o painel do Jetpack e desativar todo módulo sem uso encolhe a superfície de forma imediata, sem custo nenhum. Essa ordem importa: não adianta blindar com firewall um plugin que roda versão antiga com módulo aberto, porque o WAF olha o tráfego mas não fecha a rota já registrada por dentro do próprio site. Seguir o passo a passo de como atualizar corretamente os plugins do WordPress evita o erro comum de atualizar pela metade e deixar um módulo legado para trás, ainda exposto. ## Firewall, backup e monitoramento como rede A rede que sustenta as duas primeiras camadas contra as vulnerabilidades do Jetpack é firewall, backup e monitoramento, e ela entra em ação quando algo passa. Um firewall como o do All in One Security ou o Wordfence bloqueia a exploração automatizada que costuma chegar em horas após um CVE virar público. O backup testado garante que, se algo passar, o site volta ao estado anterior sem perda, e o monitoramento de CVE avisa quando uma versão instalada entra na lista de risco. A configuração recomendada para sites com tráfego é agendar o backup para a madrugada e deixar o WAF em modo de bloqueio, não só de alerta. Quem nunca configurou o firewall encontra o caminho em como configurar o Wordfence ou no guia do All in One Security. ## A FULL como camada de proteção do seu WordPress Manter as cinco camadas contra as vulnerabilidades do Jetpack em dezenas de sites na unha é caro e falho. O plano PRO da FULL custa R$849 e inclui o All in One Security com firewall e o UpdraftPlus para backup, entre os 17 plugins do bundle. Para quem gerencia volume, isso sai por cerca de R$85 por site, contra o preço cheio de cada licença avulsa que, somado, passa fácil disso. A gente vê no suporte que o problema raramente é falta de plugin de segurança: é a falta de uma rotina que mantenha atualização, firewall e backup ligados ao mesmo tempo. Conheça os planos da FULL para centralizar essa proteção num painel só. Quer um diagnóstico antes de decidir? O FULL Scan escaneia seu WordPress de graça e aponta plugins vulneráveis, e o repositório de vulnerabilidades lista os CVEs oficiais atualizados. Para se aprofundar no tema, o guia de segurança para WordPress reúne o passo a passo completo, e o FULL Academy concentra todos os tutoriais e reviews num só lugar. ---São falhas de segurança catalogadas no plugin da Automattic, como a CVE-2023-2996 de CVSS 8.8. Preocupam porque o Jetpack reúne dezenas de módulos num só plugin, e cada módulo ativo abre um endpoint que pode ser explorado. O risco cresce quando o site mantém versão antiga sem o patch oficial.
Porque a manutenção corrige o código, mas não controla o que cada site faz. A Automattic já fechou 46 CVEs históricas, segundo o perfil público do WPVulnerability. A exposição que sobra vem do site que não atualiza e de módulos ligados sem uso, fora do alcance do desenvolvedor do plugin.
Um CVE corrigido, como a CVE-2023-45050 de CVSS 6.5, já tem patch e só ameaça quem não atualizou. O risco atual é a falha sem patch disponível hoje. Somar o histórico inteiro como ameaça presente é o erro mais comum: o que pesa é a versão instalada agora, não o total de 46 registros.
Sim, e essa é uma das defesas mais eficazes. Cada módulo ativo do Jetpack registra rotas próprias, então desligar os que você não usa encolhe de forma imediata a superfície de ataque. No painel do Jetpack dá para desativar módulo por módulo sem desinstalar o plugin, mantendo só backup ou estatísticas, por exemplo.
A proteção básica é gratuita: atualizar o plugin e desligar módulos ociosos não custa nada. Para a camada de firewall e backup automatizado, o plano PRO da FULL custa R$849 e inclui All in One Security e UpdraftPlus, o que sai por cerca de R$85 por site quando você gerencia volume, contra licenças avulsas somadas bem mais caras.