Em resposta à procura por informações de segurança cibernética para o ano de 2025, este relatório consolida os dados parciais mais recentes disponíveis. Embora um relatório anual completo para 2025 ainda não esteja concluído, uma análise extensiva dos dados do primeiro trimestre e do primeiro semestre de 2025, fornecida pelas principais empresas de segurança, pinta um quadro claro e alarmante do cenário de ameaças em evolução. Este documento sintetiza essas descobertas, contextualizando-as com as tendências definitivas de 2024 para fornecer uma visão abrangente e acionável da segurança de websites. A análise abrange ameaças cibernéticas gerais, vulnerabilidades específicas do ecossistema WordPress, as principais campanhas de malware e recomendações estratégicas de defesa.
Os dados do primeiro semestre de 2025 indicam uma aceleração e sofisticação das ameaças observadas em 2024. As principais tendências incluem:
A natureza das ameaças em 2025 exige uma mudança fundamental na abordagem de segurança, passando de uma postura reativa para uma estratégia de defesa proativa e em camadas.
A implementação de um Web Application Firewall (WAF) com capacidades de virtual patching (correção virtual) já não é opcional, mas sim uma defesa primária e não negociável contra explorações de dia zero e N-day, que ocorrem mais rapidamente do que os ciclos de correção manuais conseguem acompanhar.
O ano de 2024 marcou um ponto de viragem no cenário de segurança do WordPress, caracterizado por um crescimento explosivo na divulgação de vulnerabilidades que estabeleceu a base para as tendências aceleradas observadas em 2025.
Os Dados: Em 2024, foram publicadas 8.223 novas vulnerabilidades na base de dados da Wordfence Intelligence, representando um aumento impressionante de 68% em relação a 2023. A Patchstack corrobora esta tendência, relatando 7.966 novas vulnerabilidades no mesmo período. Este aumento vertiginoso não se deve necessariamente a uma degradação do software, mas sim ao crescimento de programas de bug bounty e a um maior número de investigadores de segurança a examinar o ecossistema, trazendo mais falhas à luz.
A análise destes dados revela uma divergência crítica: enquanto o núcleo do WordPress permanece relativamente seguro, a segurança do ecossistema como um todo está a degradar-se devido à “cauda longa” de plugins de terceiros vulneráveis. O volume de divulgações ultrapassou a capacidade dos desenvolvedores de corrigirem e dos utilizadores de atualizarem atempadamente. Esta falha sistémica cria um ambiente fértil para exploração em massa, como demonstrado pelas estatísticas de infeção de 2024. Fica claro que uma estratégia de segurança focada apenas no núcleo do WordPress é fundamentalmente falha; a segurança deve ser abordada a partir de uma perspetiva de ecossistema, com um forte enfoque na verificação, gestão e proteção dos componentes de terceiros.
Métrica de Vulnerabilidade
2023
2024
Variação Ano a Ano
Total de Vulnerabilidades Divulgadas
4.833
8.223
+68%
% Originada em Plugins
97%
96%
-1%
A proliferação de vulnerabilidades não corrigidas em 2024 traduziu-se diretamente num aumento maciço de infeções de websites. Um relatório anual da GoDaddy, baseado em dados da sua subsidiária Sucuri, oferece uma visão macro de como estas vulnerabilidades foram exploradas em larga escala.
A ligação entre as vulnerabilidades e as infeções é direta e inegável. O aumento de 68% na divulgação de vulnerabilidades , combinado com o facto de 96% destas estarem em plugins e 35% permanecerem sem correção , criou um vasto reservatório de alvos fáceis. O relatório da GoDaddy, com a sua contagem de mais de 1,1 milhões de sites infetados , é a consequência direta desta falha sistémica. A conclusão é que a negligência na gestão do ecossistema de plugins é o principal motor por trás da epidemia de infeções de websites.
Os dados parciais, mas altamente indicativos, do primeiro semestre de 2025 confirmam que as tendências de 2024 não só continuam, como também estão a acelerar e a evoluir em sofisticação. O cenário de ameaças tornou-se mais focado, estratégico e perigoso.
A paisagem do primeiro trimestre de 2025 foi marcada por ameaças mais focadas e estratégicas, refletindo a crescente sofisticação dos atacantes.
O ransomware continuou a sua trajetória ascendente, atingindo novos picos de atividade no início de 2025.
O ecossistema WordPress continuou a ser um alvo principal, com atacantes a explorar ativamente as vulnerabilidades deixadas por corrigir do ano anterior.
Um relatório da Patchstack, analisado pela BleepingComputer, revelou as falhas específicas que os atacantes mais visaram. Notavelmente, todas são vulnerabilidades corrigidas em 2024, mas que permanecem sem patch em muitos websites, tornando-as alvos fáceis.
Os relatórios semanais da Wordfence de junho de 2025 fornecem um retrato em tempo real do problema contínuo das vulnerabilidades.
A análise dos dados de 2025 revela a “crise da velocidade da vulnerabilidade”. Um relatório da VulnCheck do primeiro trimestre mostra que 28,3% das KEVs foram exploradas no prazo de 1 dia após a divulgação do seu CVE. Esta métrica crítica altera todo o paradigma de segurança. Os relatórios de 2024 estabeleceram um elevado volume de vulnerabilidades por corrigir. Os relatórios do primeiro trimestre de 2025 mostram que os atacantes estão agora a explorá-las mais rapidamente do que nunca. O relatório da BleepingComputer fornece exemplos concretos disto, onde falhas de 2024 são as mais exploradas no primeiro trimestre de 2025. Isto prova a ligação causal direta: o backlog de vulnerabilidades por corrigir do ano anterior torna-se a lista de alvos primária para o ano corrente, e os atacantes estão a percorrer essa lista com uma velocidade crescente. Esta realidade torna a correção manual de falhas, para qualquer organização de dimensão significativa, operacionalmente impossível como principal meio de defesa, reforçando a necessidade de soluções de segurança automatizadas e proativas.
A base de qualquer postura de segurança robusta assenta em práticas fundamentais que, embora básicas, são frequentemente negligenciadas.
Disciplina de Atualização: A primeira linha de defesa continua a ser a manutenção diligente do software. Manter o núcleo do WordPress, bem como todos os plugins e temas, atualizados é crucial. As atualizações frequentemente contêm correções para vulnerabilidades de segurança conhecidas. Embora isto por si só não seja uma solução completa, é um passo preventivo essencial.
Autenticação Forte: A aplicação de palavras-passe fortes e, criticamente, a Autenticação de Dois Fatores (2FA) para todos os utilizadores, especialmente administradores, é uma das medidas mais eficazes para mitigar ataques de acesso não autorizado. A adoção generalizada de 2FA é um dos principais fatores para a diminuição da eficácia dos ataques de força bruta.
Hospedagem Segura: A segurança começa ao nível do servidor. Um fornecedor de hospedagem seguro oferece um ambiente reforçado (hardened), utiliza as versões mais recentes e seguras de PHP (PHP 8.2 ou superior é recomendado para desempenho e segurança) e pode incluir funcionalidades de segurança ao nível do servidor que fornecem uma camada de proteção adicional.
Dada a velocidade com que as ameaças evoluem, as práticas fundamentais devem ser complementadas por camadas de defesa proativas.
O Web Application Firewall (WAF): Um WAF funciona como um escudo, posicionado entre a internet e o seu website, para filtrar tráfego HTTP malicioso antes que este chegue ao seu servidor. Ele inspeciona os pedidos à procura de padrões de ataque conhecidos, como injeção de SQL e Cross-Site Scripting (XSS), e bloqueia-os.
Varrimento Contínuo: É essencial utilizar scanners de segurança, tanto remotos (como o Sucuri SiteCheck) como do lado do servidor (como os scanners da Wordfence ou MalCare). Estes scanners detetam malware, backdoors, injeções de SEO spam e outras anomalias que possam ter contornado outras defesas, fornecendo uma visão completa da integridade do site.
Higiene de Plugins e Temas: Para além de “atualizar”, uma estratégia proativa envolve a auditoria regular e a remoção de plugins e temas não utilizados ou abandonados. Cada componente adicional aumenta a superfície de ataque do site; minimizá-los é uma forma eficaz de reduzir o risco.
Mesmo com as melhores defesas, as violações podem ocorrer. Uma estratégia de backup e recuperação é a rede de segurança final que garante a continuidade do negócio.
O Imperativo dos Backups: Os backups não devem ser vistos como uma tarefa de manutenção, mas como um componente crítico da resiliência empresarial. A perda de dados pode ocorrer devido a ataques, falhas de servidor, atualizações problemáticas ou erro humano.
A implementação de uma estratégia de segurança moderna revela um sistema integrado e em camadas, onde cada componente aborda um modo de falha diferente. Os dados mostram que as atualizações por si só são demasiado lentas para combater as explorações rápidas , o que exige um WAF para bloqueio em tempo real. No entanto, os WAFs não são perfeitos, pelo que são necessários scanners para detetar o que passa. Se um scanner encontrar algo, ou se o site for destruído, são necessários backups para a recuperação. E esses backups devem ser externos para estarem a salvo do desastre inicial. Esta cadeia lógica e interdependente de defesas forma a base da resiliência cibernética. A complexidade da gestão eficaz deste sistema em camadas cria um forte argumento para serviços de segurança geridos (como a Plataforma Sucuri, Virusdie ou Wordfence Care/Response) ou hospedagem WordPress gerida, que tratam de muitas destas camadas para o utilizador. Esta é uma proposta de valor significativa para pequenas empresas ou indivíduos sem conhecimentos de segurança dedicados.
Quando ocorre uma violação, uma resposta rápida e metódica é crucial para minimizar os danos.
Colocar o site em quarentena: O primeiro passo é colocar o site offline ou exibir uma página de manutenção. Isto impede que mais visitantes sejam infetados ou que os atacantes exfiltrem mais dados.
Alterar todas as credenciais: Altere imediatamente todas as senhas associadas ao site: utilizadores administradores do WordPress, contas de FTP/SFTP, painel de controlo da hospedagem e palavras-passe da base de dados.
Iniciar uma verificação completa: Utilize uma ferramenta de segurança fiável como a Sucuri, Virusdie ou a Wordfence para realizar uma verificação completa do site. O objetivo é identificar todos os ficheiros maliciosos, injeções na base de dados, backdoors e outras anomalias.
Ser colocado na lista negra da Google pode ter um impacto devastador no tráfego e na reputação. O Google Search Console (GSC) é a ferramenta definitiva para diagnosticar e resolver este problema.
Passo 1: Verificação e Diagnóstico:
Certifique-se de que o seu site está verificado no GSC, pois este é um pré-requisito.
Passo 2: Limpeza Abrangente:
Utilize as informações do GSC e do seu scanner de segurança para realizar uma limpeza completa. Isto envolve a remoção de ficheiros maliciosos, a limpeza de tabelas da base de dados e a remoção de quaisquer páginas ou links de spam que tenham sido adicionados.
Passo 3: Solicitar uma Revisão:
Quando tiver a certeza de que o site está 100% limpo e a vulnerabilidade corrigida, regresse ao relatório de “Problemas de segurança” no GSC.
Clique no botão “Pedir uma revisão”.
Passo 4: O Período de Espera e Pós-Revisão:
O processo de revisão pode demorar alguns dias e não há forma de o acelerar.
O processo de revisão da Google não é apenas uma verificação técnica; é um teste de diligência. A Google quer ver que o proprietário do site não só limpou os sintomas (o malware), mas também corrigiu a causa raiz (a vulnerabilidade). O processo é concebido para forçar os webmasters a melhorar a sua postura de segurança, em vez de realizarem apenas uma limpeza superficial. Este processo pode ser complexo, stressante e demorado para um não especialista. O potencial de rejeições repetidas e de tempo de inatividade prolongado do negócio cria um forte argumento financeiro para a utilização de serviços profissionais de limpeza e remoção de listas negras (como os oferecidos pela Sucuri, Wordfence ou MalCare), que possuem relações estabelecidas e experiência na navegação deste processo exato.
A análise dos dados de 2024 e do primeiro semestre de 2025 revela um cenário de ameaças que evolui a um ritmo alarmante. As principais tendências — a velocidade acelerada da exploração de vulnerabilidades, a profissionalização do cibercrime com a IA como ferramenta chave e a fragilidade crítica do ecossistema de plugins por corrigir — definem os desafios de segurança para o futuro próximo.
A previsão é que estas tendências continuem durante o resto de 2025. Espera-se um aumento de ataques mais sofisticados e impulsionados por IA, e um foco contínuo na exploração da lista cada vez maior de vulnerabilidades por corrigir em software de terceiros.
A mensagem final é clara: no atual panorama de ameaças, a segurança de websites não é uma tarefa única ou a instalação de um único plugin. É um processo contínuo de gestão de risco que exige uma abordagem em camadas, proativa e resiliente. O custo da inação — medido em perda de dados, danos à reputação e interrupção do negócio — é mais elevado do que nunca. A adoção da estrutura abrangente delineada neste relatório é essencial para navegar os desafios de 2025 e mais além.
Nossa equipe de especialistas em segurança WordPress está pronta para entrar em ação, limpar completamente o seu site e restaurar a sua tranquilidade. Nosso serviço de emergência inclui:
✅ Análise forense completa para encontrar a causa raiz.
✅ Remoção de todo o malware, vírus e backdoors.
✅ Reparo de arquivos e do banco de dados.
✅ Remoção de blacklists do Google, McAfee, etc.
✅Relatório detalhado de todas as ações tomadas.
Depois de o seu site estar limpo e seguro, a conversa muda de reação para prevenção. A verdade é que um site limpo, mas não protegido, é um alvo à espera de ser atacado novamente. A prevenção, através de um plano de manutenção e segurança contínuo, é sempre mais barata, mais segura e menos estressante do que lidar com uma emergência.
Pergunte-nos sobre nossos planos de proteção para garantir que sua paz de espírito seja permanente.
Especialistas em WordPress