Um zero-day é uma falha sem patch disponível, explorada antes do autor do plugin publicar a correção. Segundo o NVD/NIST (2020), o CVE-2020-35489 no Contact Form 7 (CVSS 10.0) foi explorado antes do patch. A maioria dos ataques, porém, é n-day: o patch existe e o site não atualizou. Saber distinguir os dois muda a defesa.

Um zero-day é uma vulnerabilidade que está sendo explorada enquanto ainda não existe correção oficial, o pior cenário de exposição. O nome vem do tempo que o desenvolvedor teve para reagir: zero dias. No WordPress, o núcleo raramente sofre esse tipo de falha, porque a equipe central audita o código com rigor. O risco real mora nos plugins e temas de terceiros, onde uma brecha pode virar ataque em massa antes do autor reagir. Este guia de conceito faz parte do hub de vulnerabilidades WordPress da FULL e mostra como reconhecer e mitigar um zero-day.

O que é um zero-day no WordPress: Definição e os 3 sinais

Um zero-day no WordPress é uma falha de segurança em uso ativo por atacantes antes de o autor do plugin ou tema lançar o patch. O número que define o conceito é zero: zero dias de aviso prévio para quem mantém o site. Nos tickets de invasão da FULL, três sinais separam o caso real do alarme falso, e o mais comum é confundir um n-day com uma falha sem patch verdadeira.

A causa raiz quase sempre é código de terceiros com uma brecha que o atacante descobriu primeiro, como um upload sem validação ou uma rota REST exposta. A tabela abaixo resume os três sinais que indicam um zero-day genuíno, cada um com o critério técnico e a ação imediata. O que os une é a ausência de patch: enquanto a correção não existe, atualizar não resolve.

Legenda: a falha vive na janela entre ser explorada e o patch existir, quando atualizar ainda não é opção.

Por que o WordPress Core resiste, mas os plugins sofrem zero-day

O núcleo do WordPress raramente sofre um zero-day porque passa por revisão pública e auditoria contínua, enquanto os mais de 60 mil plugins do diretório têm qualidade desigual. Em cerca de 9 de cada 10 invasões que chegam ao suporte da FULL, o vetor é um plugin ou tema de terceiros, nunca o core em si. A superfície de ataque está na extensão, não na base.

O motivo é estrutural: o core tem uma equipe dedicada e milhares de olhos sobre cada commit, enquanto um plugin pode ser mantido por uma pessoa só. Uma falha de upload sem validação, combinada com um visitante não autenticado, vira um web shell antes de o autor publicar a correção. Por isso a regra prática é tratar todo plugin com upload, formulário ou editor de arquivos como o primeiro alvo de um zero-day. Reduzir o número de plugins ativos encolhe essa superfície, como detalha o guia de hardening de segurança.

Zero-day ou n-day: A distinção que muda toda a defesa

A diferença entre zero-day e n-day decide qual defesa funciona, e a maioria dos casos é n-day. Um zero-day não tem patch; um n-day tem patch há dias ou semanas e o site simplesmente não atualizou. Nos tickets da FULL, a esmagadora maioria dos sites comprometidos rodava um plugin com CVE publicado e correção disponível, só com a atualização desligada.

A consequência é direta: contra n-day, atualizar resolve, então a defesa é manter as atualizações automáticas ligadas e revisar a fila de updates pendentes toda semana. Contra zero-day real, atualizar não existe como opção, e a defesa precisa vir do WAF com patching virtual na borda. Um exemplo concreto é o CVE-2023-6449 no Contact Form 7 (CVSS 7.2), na versão < 5.8.4: depois do patch, ele virou n-day, e quem não atualizou ficou exposto por pura escolha de configuração. Para fechar essa janela, o guia de como atualizar corretamente os plugins mostra o fluxo seguro de aplicação.

Como o patching virtual protege na janela do zero-day

O patching virtual protege o site na janela em que o patch oficial ainda não existe, bloqueando o vetor de ataque na borda em vez de no código. Um WAF gerenciado, como o do Wordfence ou o da camada da FULL, recebe uma regra que reconhece a requisição maliciosa e a barra antes de ela chegar ao plugin, em geral em minutos após a falha ser publicada.

A mecânica é a seguinte: o WAF não corrige o plugin, ele intercepta a requisição que explora a falha. Isso cobre o intervalo crítico entre o zero-day aparecer e o autor lançar o patch. Quando o CVE-2023-3124 no Elementor Pro (CVSS 8.8) foi divulgado, ambientes com WAF ativo bloquearam o vetor enquanto o patch 3.11.7 era preparado. Ferramentas para verificar vulnerabilidades no WordPress ajudam a saber se algum plugin já tem alerta aberto.

A FULL inclui WAF gerenciado e patching virtual no bundle

A segurança gerenciada da FULL parte de um princípio: cobrir a janela de um zero-day na borda custa menos que limpar um site invadido toda semana. O plano PRO sai por R$849 e cobre 10 sites, o que dá R$85 por site, com o WAF gerenciado, patching virtual e o All in One Security já no bundle.

Em vez de pagar uma limpeza emergencial por incidente, você fica com a regra de WAF rodando na borda assim que uma falha é publicada. Conheça os planos da FULL e compare com o custo de uma única invasão por zero-day.

Vale o contexto de autoridade aqui: a FULL é a única empresa brasileira credenciada como CNA (CVE Numbering Authority) sob a CISA desde maio de 2022, autorizada a atribuir IDs CVE oficiais. Para um diagnóstico rápido, o FULL Scan verifica seu site sem instalação, e o repositório de vulnerabilidades lista os CVEs por plugin.

Perguntas frequentes sobre zero-day no WordPress

Próximos passos para reduzir a exposição a zero-day

Entender o zero-day muda a prioridade da defesa: cobrir a janela na borda com WAF e, ao mesmo tempo, eliminar o n-day mantendo tudo atualizado. Um plano em camadas combina patching virtual, um bom plugin de segurança e atualização automática, de modo que tanto a falha sem patch quanto a falha já corrigida encontrem pouca margem. Se o site já foi atingido, o passo a passo de o que fazer imediatamente após uma invasão organiza a resposta, e falhas como o cross-site scripting (XSS) mostram como um vetor comum vira porta de entrada. Para continuar aprendendo, o guia de segurança para WordPress reúne os próximos passos em sequência.