| CVE | CVSS / severidade | Versão afetada | Patch (versão segura) |
|---|---|---|---|
| CVE-2024-10957 | 8.8 (alta) | abaixo de 1.24.12 | 1.24.12 |
| CVE-2023-32960 | 7.1 (alta) | abaixo de 1.23.4 | 1.23.4 |
| CVE-2017-16871 | 8.1 (alta) | até 1.13.12 | 1.13.12 |
Legenda: a versão instalada é o primeiro dado a checar; abaixo de 1.24.12 o site carrega a CVE-2024-10957 em aberto.
--- ## Risco atual versus histórico: A distinção que muda tudo O risco atual das vulnerabilidades do UpdraftPlus é baixo, e isso é mensurável: zero CVEs sem patch e zero falhas recentes em aberto, segundo o perfil público do WPVulnerability consultado em . Isso é bem diferente do histórico acumulado de 26 CVEs. As vulnerabilidades do UpdraftPlus ilustram bem isso: um plugin com 26 CVEs catalogadas e todas corrigidas não é um plugin inseguro, é um plugin auditado, onde cada falha encontrada virou um patch. O sinal de alerta não é o número total de CVEs, e sim quantas estão sem correção hoje. A gente vê no suporte da FULL que boa parte dos sustos com o UpdraftPlus vem de gente lendo a lista histórica de CVEs e achando que está exposta, quando na verdade já roda a versão corrigida. O verdadeiro risco aparece quando o plugin fica desatualizado, padrão que detalhamos no guia sobre plugin abandonado e risco de segurança. --- ## Como a cve-2024-10957 funcionava na prática A CVE-2024-10957 explorava a desserialização de dados na rotina de restauração do UpdraftPlus em versões abaixo de 1.24.12. O mecanismo é direto: um usuário autenticado, mesmo com papel de assinante, enviava um parâmetro de restauração com um objeto PHP serializado e manipulado para forçar o comportamento. Quando o plugin desserializava esse dado sem validação, abria a porta para PHP object injection, que em ambientes com a "gadget chain" certa permite execução de código. A correção na 1.24.12 passou a sanitizar e validar o parâmetro antes de processá-lo. Nenhuma destas vulnerabilidades do UpdraftPlus exige instrução ofensiva para ser entendida: o foco aqui é defensivo. Quem mantém o plugin atualizado e restringe quem tem acesso ao painel já neutraliza o vetor. Para o passo a passo de atualização correta, veja como atualizar corretamente os plugins do WordPress. --- ## A camada que ninguém olha: Onde o backup mora O maior risco prático das vulnerabilidades do UpdraftPlus não está no código do plugin, mas no destino do backup: backup no mesmo servidor é ponto único de falha. Quando o arquivo .zip fica dentro de wp-content e o servidor não tem regra no .htaccess bloqueando o diretório, esse arquivo vira baixável por URL direta. E o backup contém tudo de uma vez. Um invasor que lê o .zip lê o wp-config.php e o banco de dados inteiro, sem precisar de nenhuma falha no plugin. Por isso, manter o destino off-site, como backup do WordPress no Google Drive ou Amazon S3, corta esse vetor por completo. Segundo o Cloudflare Radar, em os ataques de camada de aplicação no Brasil tiveram 16,4% mitigados por WAF, o que justifica manter um firewall na frente do servidor. Antes disso, configure um backup automático do WordPress com destino externo. --- ## Quem escreve sobre CVE aqui: O ângulo CNA A FULL é a única empresa brasileira credenciada como CVE Numbering Authority (CNA) sob a CISA, status ativo desde . Na prática, isso significa que a FULL é autorizada a atribuir identificadores CVE oficiais, o mesmo padrão que cataloga as vulnerabilidades do UpdraftPlus. Não é um selo de marketing: quem escreve sobre vulnerabilidade aqui literalmente participa do processo de catalogação de falhas no ecossistema WordPress. Os mais de 150 mil sites conectados à FULL dão a leitura de campo de quais CVEs realmente geram chamado e quais ficam só no papel. Para checar a exposição do seu próprio site, o passo seguinte é como verificar vulnerabilidades no WordPress com uma ferramenta de varredura. Pode ainda consultar o repositório de vulnerabilidades da FULL, atualizado com dados oficiais de CVEs. --- ## UpdraftPlus, BackWPup e all-in-one WP migration: O quadro de risco No comparativo de risco atual entre plugins de backup e migração, o UpdraftPlus aparece como seguro hoje, ao lado do All-in-One WP Migration, enquanto o BackWPup carrega 1 falha recente em atenção. Nenhum dos três está com CVE crítica sem patch, segundo o perfil público do WPVulnerability. Olhar as vulnerabilidades do UpdraftPlus de forma isolada engana: o UpdraftPlus compete por simplicidade e base instalada de milhões de sites; o All-in-One WP Migration compete por migração em um clique; o BackWPup compete por backup técnico granular. A diferença de risco está na cadência de atualização de cada projeto, não no número histórico. Vale o raciocínio: quanto mais rápido o plugin patcheia, melhor o sinal de manutenção. A escolha entre eles é menos sobre segurança e mais sobre fluxo de trabalho. Para o veredito de uso real, veja o review completo do UpdraftPlus. --- ## Como blindar o backup com o bundle da FULL Fechar as vulnerabilidades do UpdraftPlus é direto: manter o plugin atualizado, com destino off-site e um firewall na frente, resolve quase todo o risco. No plano PRO da FULL, por R$849,90, você ativa o UpdraftPlus junto do All in One Security (firewall e WAF) e dos outros plugins do bundle, com gestão centralizada da versão em todos os sites. Diluído nos 10 sites do plano, sai a R$85 por site, contra a soma das licenças avulsas de cada plugin de segurança e backup. A gente vê no suporte que manter versão única e atualizada em toda a base é o que mais reduz incidente, mais do que qualquer configuração pontual. Conheça os planos em FULL.services/planos. ---Sim, o UpdraftPlus é seguro na versão 1.24.12 ou superior. O perfil público do WPVulnerability registra zero CVEs sem patch e zero falhas recentes em aberto. O risco existe apenas em versões antigas, como as anteriores à 1.24.12, que ainda carregam a CVE-2024-10957. Atualizar resolve.
Porque 26 CVEs catalogadas e todas corrigidas indicam auditoria ativa, não fragilidade. Cada falha encontrada no UpdraftPlus virou um patch. O sinal de alerta de segurança não é o total histórico de CVEs, e sim quantas estão sem correção hoje, que neste caso é zero. Plugin auditado e patcheado é mais seguro que plugin sem histórico.
A versão segura é a 1.24.12. Ela corrigiu a CVE-2024-10957, que tinha CVSS 8.8 e afetava todas as versões abaixo dela. Qualquer release igual ou superior à 1.24.12 já trata a falha de PHP object injection na rotina de restauração. Confirme a versão no painel de plugins antes de seguir.
Sim, é possível e recomendado. Mantenha o UpdraftPlus atualizado, configure o destino do backup para fora do servidor (Google Drive ou Amazon S3) e coloque um firewall ou WAF na frente. Backup off-site evita que o arquivo .zip, que contém o wp-config.php e o banco, fique baixável por URL direta. Não é preciso trocar de plugin.
A CVE-2024-10957 permitia PHP object injection por um usuário autenticado, mesmo com papel baixo como assinante. Ao manipular um parâmetro de restauração, em ambientes com a gadget chain certa, era possível executar código no servidor. A correção na versão 1.24.12 passou a validar e sanitizar esse parâmetro antes do processamento.