O WordPress anunciou que vai lançar uma análise automática de segurança para cada nova versão de um plugin antes da distribuição pela API de atualizações do WordPress.org. O objetivo é identificar possíveis falhas e garantir que não haja riscos na liberação.
"Os novos plugins são revisados antes de entrarem no diretório, mas, depois disso, as atualizações são publicadas continuamente", afirmou David Perez, co-líder da equipe oficial do repositório de plugins do WordPress. "Um plugin pode estar seguro hoje e, em uma versão futura, introduzir uma vulnerabilidade ou código malicioso."
Segundo o WordPress, a falta de uma "etapa de revisão consistente" entre o envio de uma versão e sua entrega aos usuários finais criava uma brecha que poderia ser explorada em ataques maliciosos.
A plataforma de gerenciamento de conteúdo informou que sua revisão automática detectou um backdoor em uma versão de um plugin com cerca de 20.000 instalações ativas, em 28 de julho de 2026. Como a versão ainda estava dentro da janela de espera, o código comprometido nunca chegou a ser distribuído pela API de atualizações do WordPress.org.
O plugin foi bloqueado para downloads 26 minutos depois de a equipe de plugins ser alertada pela empresa de segurança Wordfence. O WordPress não divulgou o nome do plugin.
Desde 5 de junho de 2026, todo plugin e tema do WordPress passa por um período de espera antes de ser distribuído por atualizações automáticas, como parte de uma nova iniciativa de segurança chamada Protect The Shire. A ideia é criar atrito no processo para impedir que atualizações maliciosas cheguem imediatamente aos usuários finais. Atualmente, esse período é de seis horas, abaixo das 24 horas estabelecidas quando a medida foi implementada.
A nova iniciativa busca fechar outra brecha crítica de segurança: quando uma versão de plugin ou tema recebe uma pontuação de alto risco, a distribuição deve ser interrompida automaticamente, sem participação da equipe de plugins. O processo funciona da seguinte forma:
Durante o período de espera, as mudanças em cada versão são analisadas no WordPress.org por modelos de inteligência artificial (IA), em conjunto com o Jetpack Scan.
Os resultados são cruzados e combinados em uma pontuação de segurança. Quanto maior a pontuação, maior o risco potencial.
Versões com pontuação de alto risco são bloqueadas automaticamente após a conclusão da análise. Já as que ficam abaixo desse limite seguem o fluxo normal.
Os mantenedores dos plugins recebem um e-mail com os resultados, mas a mensagem só é enviada quando há bloqueio.
Ainda assim, vale destacar que uma pontuação alta não significa necessariamente intenção maliciosa, já que o sistema também leva em conta falhas de segurança introduzidas por engano, além de identificar malware deliberado.
Em um comentário posterior, Perez explicou que a análise de segurança "procura as mesmas classes de vulnerabilidades que qualquer auditoria de segurança busca" e recomendou que os desenvolvedores sigam os padrões de codificação do WordPress e as regras do PHP_CodeSniffer (PHPCS) para validar o código e garantir qualidade. No caso de desenvolvedores que publicam extensões para WooCommerce, a recomendação é usar a plataforma de testes Quality Insights Toolkit (QIT).
Outros padrões que também podem elevar a pontuação de risco incluem:
pontos de extremidade REST, AJAX ou admin-post sem verificação de permissão, já que um nonce, sozinho, não representa autorização;
consultas criadas sem $wpdb->prepare();
caminhos de arquivos, uploads, exclusões ou inclusões montados a partir de dados de requisição;
uso de unserialize() em dados de requisição ou em resposta remota;
opções, metadados de usuários ou configurações gravados a partir de pontos de extremidade acessíveis por assinantes ou por usuários não autenticados;
código obtido ou avaliado em tempo de execução, além de código ofuscado ou compactado.
Quando uma versão é bloqueada, a única forma de o desenvolvedor remover as restrições é revisar os resultados, corrigir os problemas e publicar uma nova versão. Se a nova liberação ficar abaixo do limite de alto risco, ela segue pelo processo normal de espera.
"Se um resultado parecer incorreto, os autores podem entrar em contato com a equipe de plugins", disse Perez. "Mas é importante entender que a equipe lida com um volume muito alto de revisões, então publicar uma versão corrigida quase sempre é mais rápido do que aguardar a análise manual de um recurso."
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...