As vulnerabilidades do UpdraftPlus hoje são histórico corrigido, não risco aberto: a versão 1.24.12 e superiores fecharam as falhas conhecidas. Segundo o NVD/NIST (2024), a CVE-2024-10957 teve CVSS 8.8. O risco real mora em rodar versão desatualizada. Atualize e mova o backup para fora do servidor.

As vulnerabilidades do UpdraftPlus são, na prática, um conjunto de 26 CVEs catalogadas ao longo dos anos, sendo a mais grave a CVE-2024-10957 com CVSS 8.8. Nenhuma delas representa risco em aberto para quem roda a versão 1.24.12 ou superior. O ponto que confunde a maioria dos administradores é separar o histórico de falhas já corrigidas do risco que existe hoje. Este guia explica cada vulnerabilidade do UpdraftPlus com o CVE real, a versão afetada e o patch, e mostra como blindar o backup. Para o quadro completo do tema, veja o hub de vulnerabilidades do WordPress da FULL.

O que são as vulnerabilidades do UpdraftPlus: Os 3 tipos

As vulnerabilidades do UpdraftPlus se concentram em 3 tipos: PHP object injection na restauração, exposição de arquivos de backup e falhas de autorização em endpoints AJAX. O perfil público do WPVulnerability registra 26 CVEs no histórico do plugin, sendo 4 de severidade alta e todas já com patch disponível.

A falha de maior impacto, a CVE-2024-10957, ficava na rotina de restauração: um usuário autenticado com permissão baixa conseguia injetar um objeto PHP manipulado e, em certos ambientes, executar código no servidor. As outras duas categorias afetam o destino do backup. Quando o arquivo .zip fica dentro de wp-content sem bloqueio de diretório, ele vira baixável por URL direta.

Legenda: a versão instalada é o primeiro dado a checar; abaixo de 1.24.12 o site carrega a CVE-2024-10957 em aberto.

Risco atual versus histórico: A distinção que muda tudo

O risco atual das vulnerabilidades do UpdraftPlus é baixo, e isso é mensurável: zero CVEs sem patch e zero falhas recentes em aberto, segundo o perfil público do WPVulnerability consultado em junho de 2026. Isso é bem diferente do histórico acumulado de 26 CVEs.

As vulnerabilidades do UpdraftPlus ilustram bem isso: um plugin com 26 CVEs catalogadas e todas corrigidas não é um plugin inseguro, é um plugin auditado, onde cada falha encontrada virou um patch. O sinal de alerta não é o número total de CVEs, e sim quantas estão sem correção hoje. A gente vê no suporte da FULL que boa parte dos sustos com o UpdraftPlus vem de gente lendo a lista histórica de CVEs e achando que está exposta, quando na verdade já roda a versão corrigida. O verdadeiro risco aparece quando o plugin fica desatualizado, padrão que detalhamos no guia sobre plugin abandonado e risco de segurança.

Como a cve-2024-10957 funcionava na prática

A CVE-2024-10957 explorava a desserialização de dados na rotina de restauração do UpdraftPlus em versões abaixo de 1.24.12. O mecanismo é direto: um usuário autenticado, mesmo com papel de assinante, enviava um parâmetro de restauração com um objeto PHP serializado e manipulado para forçar o comportamento.

Quando o plugin desserializava esse dado sem validação, abria a porta para PHP object injection, que em ambientes com a “gadget chain” certa permite execução de código. A correção na 1.24.12 passou a sanitizar e validar o parâmetro antes de processá-lo. Nenhuma destas vulnerabilidades do UpdraftPlus exige instrução ofensiva para ser entendida: o foco aqui é defensivo. Quem mantém o plugin atualizado e restringe quem tem acesso ao painel já neutraliza o vetor. Para o passo a passo de atualização correta, veja como atualizar corretamente os plugins do WordPress.

A camada que ninguém olha: Onde o backup mora

O maior risco prático das vulnerabilidades do UpdraftPlus não está no código do plugin, mas no destino do backup: backup no mesmo servidor é ponto único de falha. Quando o arquivo .zip fica dentro de wp-content e o servidor não tem regra no .htaccess bloqueando o diretório, esse arquivo vira baixável por URL direta.

E o backup contém tudo de uma vez. Um invasor que lê o .zip lê o wp-config.php e o banco de dados inteiro, sem precisar de nenhuma falha no plugin. Por isso, manter o destino off-site, como backup do WordPress no Google Drive ou Amazon S3, corta esse vetor por completo. Segundo o Cloudflare Radar, em junho de 2026 os ataques de camada de aplicação no Brasil tiveram 16,4% mitigados por WAF, o que justifica manter um firewall na frente do servidor. Antes disso, configure um backup automático do WordPress com destino externo.

Quem escreve sobre CVE aqui: O ângulo CNA

A FULL é a única empresa brasileira credenciada como CVE Numbering Authority (CNA) sob a CISA, status ativo desde maio de 2022. Na prática, isso significa que a FULL é autorizada a atribuir identificadores CVE oficiais, o mesmo padrão que cataloga as vulnerabilidades do UpdraftPlus.

Não é um selo de marketing: quem escreve sobre vulnerabilidade aqui literalmente participa do processo de catalogação de falhas no ecossistema WordPress. Os mais de 150 mil sites conectados à FULL dão a leitura de campo de quais CVEs realmente geram chamado e quais ficam só no papel. Para checar a exposição do seu próprio site, o passo seguinte é como verificar vulnerabilidades no WordPress com uma ferramenta de varredura. Pode ainda consultar o repositório de vulnerabilidades da FULL, atualizado com dados oficiais de CVEs.

UpdraftPlus, BackWPup e all-in-one WP migration: O quadro de risco

No comparativo de risco atual entre plugins de backup e migração, o UpdraftPlus aparece como seguro hoje, ao lado do All-in-One WP Migration, enquanto o BackWPup carrega 1 falha recente em atenção. Nenhum dos três está com CVE crítica sem patch, segundo o perfil público do WPVulnerability.

Olhar as vulnerabilidades do UpdraftPlus de forma isolada engana: o UpdraftPlus compete por simplicidade e base instalada de milhões de sites; o All-in-One WP Migration compete por migração em um clique; o BackWPup compete por backup técnico granular. A diferença de risco está na cadência de atualização de cada projeto, não no número histórico. Vale o raciocínio: quanto mais rápido o plugin patcheia, melhor o sinal de manutenção. A escolha entre eles é menos sobre segurança e mais sobre fluxo de trabalho. Para o veredito de uso real, veja o review completo do UpdraftPlus.

Como blindar o backup com o bundle da FULL

Fechar as vulnerabilidades do UpdraftPlus é direto: manter o plugin atualizado, com destino off-site e um firewall na frente, resolve quase todo o risco. No plano PRO da FULL, por R$849,90, você ativa o UpdraftPlus junto do All in One Security (firewall e WAF) e dos outros plugins do bundle, com gestão centralizada da versão em todos os sites. Diluído nos 10 sites do plano, sai a R$85 por site, contra a soma das licenças avulsas de cada plugin de segurança e backup. A gente vê no suporte que manter versão única e atualizada em toda a base é o que mais reduz incidente, mais do que qualquer configuração pontual. Conheça os planos em FULL.services/planos.

Perguntas frequentes sobre vulnerabilidades do UpdraftPlus

Próximo passo para fechar o risco do seu backup

As vulnerabilidades do UpdraftPlus deixam uma lição clara: o risco mora na versão desatualizada e no backup mal guardado, não no plugin em si. Atualize para a 1.24.12 ou superior, mande o backup para fora do servidor e mantenha um firewall ativo. Se o pior acontecer, saiba como restaurar o WordPress a partir do backup antes da emergência. Para continuar aprendendo segurança WordPress, o guia de segurança para WordPress reúne tutoriais, checklists e diagnósticos em um só lugar, e o FULL Academy centraliza todo o material de aprendizado da FULL.