Como corrigir vulnerabilidade de plugin no WordPress atualizando com segurança

Rode o WPScan ou um plugin de segurança como o Wordfence. Ele cruza a lista dos seus plugins e versões com as bases de CVE e aponta o componente afetado, a faixa de versões vulnerável e a versão que corrige. A partir daí você já sabe para qual número atualizar.

Quase sempre, desde que a nova versão seja igual ou superior à que aplica o patch. Confira no changelog ou no aviso do CVE qual versão corrige a falha e atualize ao menos para ela. Se o plugin foi abandonado e não há versão corrigida, a única saída é remover e substituir.

Sim, principalmente quando o salto de versão é grande. Uma atualização pode introduzir incompatibilidade com o tema ou com outro plugin e derrubar o site. Com backup de arquivos e banco você reverte em minutos; sem ele, um update problemático vira uma recuperação demorada.

Só em casos críticos. Quando a falha é grave e muito disseminada, o time do WordPress.org pode forçar um push de segurança, como aconteceu com o Really Simple Security e o CVE-2024-10924. Fora desses casos excepcionais, a atualização depende de você ter ligado os updates automáticos ou de aplicá-la manualmente.

CVSS é uma escala de 0 a 10 que mede a gravidade da falha. Notas de 9.0 para cima são críticas e pedem atualização imediata, como o 9.8 do authentication bypass do Really Simple Security. Use a nota para priorizar qual plugin corrigir primeiro quando há mais de um aviso aberto.

Atualizar tapa a porta, mas não expulsa quem já entrou. Se a falha esteve pública por dias, procure usuários admin desconhecidos, arquivos modificados e tarefas agendadas estranhas, rode um scan de integridade e troque as senhas de admin. Restaure de um backup limpo se encontrar sinais de comprometimento.

Desativar reduz o risco, mas nem sempre o elimina, porque alguns arquivos do plugin ainda podem ser alcançados por requisição direta. O caminho seguro é atualizar para a versão corrigida; se não há patch, desative e remova de fato o plugin, apagando a pasta dele de wp-content/plugins.