Como alterar logotipo a partir da versão do WordPress 4.5
A fácil personalização do logotipo na nova versão do WordPress 4.5. Veja e entenda o que essa nova funcionalidade pode melhorar no seu site.
WPScan é um scanner de vulnerabilidades de caixa-preta (black box) específico para WordPress, escrito em Ruby e mantido pela Automattic, que cruza a instalação analisada com um banco de mais de 49.000 vulnerabilidades catalogadas em núcleo, plugins e temas. Ele opera sem acesso ao código-fonte do site, replicando a perspectiva de um atacante externo.
Se você administra ambientes WordPress em escala, conhece bem a tensão: um plugin desatualizado, uma versão de tema com CVE conhecido e, de repente, o que era um detalhe vira incidente. Contratar pentest manual a cada release não é viável em times que publicam toda semana. É exatamente esse vão que o WPScan preenche, oferecendo auditoria contínua de vulnerabilidades sem depender de uma consultoria externa a cada ciclo.
Neste guia atualizado, mostramos como instalar, configurar a API token, dominar os comandos essenciais e integrar o WPScan à sua rotina de segurança em 2025.
O que é o WPScan e por que ele virou referência em segurança WordPress?
O WPScan nasceu como projeto independente de pesquisadores de segurança e, desde 2021, é mantido pela Automattic, a empresa por trás do WordPress.com. A proposta é simples e poderosa: enumerar tudo o que está exposto em uma instalação WordPress (versão do núcleo, plugins, temas, usuários) e cruzar essas informações com a base de vulnerabilidades conhecidas.
Por ser uma ferramenta de caixa-preta, o WPScan (projeto oficial) não precisa de acesso ao servidor nem ao banco de dados. Ele enxerga o site da mesma forma que um invasor enxergaria: de fora. Isso o torna ideal para validar a superfície de ataque real, e não apenas o que você imagina estar protegido.
A lógica de varredura externa segue boas práticas documentadas no OWASP Web Security Testing Guide, referência para qualquer profissional que conduz testes de segurança em aplicações web.
Por que a auditoria de vulnerabilidades não é opcional no WordPress?
O WordPress roda em cerca de 43% de todos os sites da web, segundo dados do W3Techs. Essa popularidade tem um efeito colateral: o ecossistema vira alvo prioritário. E a maior parte do risco não está no núcleo, está nas extensões.
Segundo o relatório anual de segurança WordPress da Patchstack, a esmagadora maioria das vulnerabilidades catalogadas no ecossistema vem de plugins e temas de terceiros, não do core. Plugins abandonados, sem atualização há anos, respondem por uma fatia relevante desses casos.
O problema prático é simples: você pode ter um core WordPress impecável e ainda assim estar exposto por um único plugin esquecido. As estatísticas de vulnerabilidades WordPress da WPScan reforçam que a superfície de ataque cresce a cada plugin instalado. Por isso, rodar uma análise de vulnerabilidade WordPress de forma recorrente não é luxo, é controle básico de risco.
Como instalar o WPScan em 2025? (gem, Docker ou Kali Linux)
Esqueça os tutoriais antigos que mandam clonar o repositório e rodar ruby wpscan.rb. Esse fluxo está obsoleto. Hoje existem três caminhos confiáveis para instalar o scanner.
Instalação via RubyGems
Se você já tem Ruby configurado, este é o caminho mais direto. Basta instalar a gem oficial:
gem install wpscan
wpscan --versionEsse método mantém o WPScan fácil de atualizar com gem update wpscan, ideal para estações de trabalho de analistas de segurança.
Instalação via Docker
Para quem prefere não lidar com dependências de Ruby na máquina local, a imagem oficial em Docker resolve tudo de forma isolada:
docker pull wpscanteam/wpscan
docker run -it --rm wpscanteam/wpscan --url https://seu-site.comO Docker é a opção que mais usamos em pipelines, porque garante o mesmo ambiente em qualquer servidor, sem surpresas de versão.
Kali Linux e distros de pentest
Se você trabalha com Kali Linux, Parrot OS ou distribuições voltadas a pentest, o WPScan já vem pré-instalado. Vale rodar wpscan --update para sincronizar a base de vulnerabilidades antes de qualquer varredura.
Importante: não há suporte nativo no Windows. A recomendação para usuários Windows é rodar via WSL (Windows Subsystem for Linux) ou Docker.
Como gerar e configurar o WPScan API token?
Desde 2021, consultar o banco de vulnerabilidades exige um WPScan API token gratuito. Sem ele, a ferramenta ainda enumera plugins e temas, mas não informa quais possuem CVEs conhecidos, o que esvazia boa parte do valor da auditoria.
O passo a passo é rápido:
- Crie uma conta gratuita em wpscan.com e acesse o painel de perfil para localizar sua chave de API.
- O plano gratuito libera 25 requisições por dia, suficiente para auditar alguns sites manualmente. Planos pagos vão de US$ 39 a US$ 490 por mês para volumes maiores.
- Guarde a chave como variável de ambiente, nunca em código versionado, para não vazá-la em repositórios.
Na prática, você passa a token no comando assim:
wpscan --url https://seu-site.com --api-token SUA_CHAVE_AQUIQuais comandos do WPScan você precisa dominar?
O poder do WPScan está nos parâmetros de enumeração. Abaixo, os comandos que mais usamos no dia a dia.
Varredura completa com checagem de vulnerabilidades:
wpscan --url https://seu-site.com --api-token SUA_CHAVE --enumerate vp,vt,uAqui, vp lista plugins vulneráveis, vt lista temas vulneráveis e u enumera usuários cadastrados.
Listar todos os plugins instalados:
wpscan --url https://seu-site.com --enumerate apEnumerar usuários (útil para identificar exposição de logins):
wpscan --url https://seu-site.com --enumerate uTeste controlado de força bruta com wordlist:
wpscan --url https://seu-site.com --passwords lista-senhas.txt --usernames adminSaída em JSON para integração com CI/CD:
wpscan --url https://seu-site.com --api-token SUA_CHAVE --format json --output relatorio.jsonEsse último é o que transforma o WPScan de ferramenta manual em peça de automação. Com saída JSON, você consegue parsear resultados e disparar alertas automaticamente.
WPScan vs. outras ferramentas: qual usar em cada cenário?
O WPScan é excelente para auditoria externa e enumeração, mas não é uma bala de prata. Detectar malware já instalado, por exemplo, é tarefa de outras ferramentas. Veja como ele se posiciona frente aos principais scanners de segurança para WordPress.
| Ferramenta | Tipo de análise | Banco de vulnerabilidades | Modelo de licença | Indicado para |
|---|---|---|---|---|
| WPScan CLI | Caixa-preta externa + enumeração | 49.000+ CVEs (WPScan DB / Automattic) | Gratuito (25 req/dia) ou US$ 39-490/mês | Auditoria técnica, DevSecOps, pentest |
| Patchstack | Monitoramento contínuo + virtual patching | 9.000+ vulnerabilidades curadas | US$ 89-179/site/ano | Equipes sem time de segurança dedicado |
| Wordfence Scan | Plugin interno (caixa-branca) | Base proprietária + assinaturas de malware | Gratuito ou US$ 119/site/ano | Detecção de malware já instalado |
| Sucuri SiteCheck | Scanner externo de blocklist e malware | Sinais públicos (Google, Norton, etc.) | Gratuito (limitado) | Verificação rápida de blacklist |
A leitura prática: use o WPScan para mapear vulnerabilidades conhecidas em núcleo, plugins e temas; combine com um scanner interno como o Wordfence quando o objetivo for caçar malware já presente no servidor.
Como integrar o WPScan em rotinas de DevSecOps?
A real maturidade de segurança não está em rodar o WPScan uma vez, mas em torná-lo parte do pipeline. Algumas abordagens que aplicamos:
- GitHub Actions: dispare a imagem Docker do WPScan a cada deploy ou em schedule semanal, parseando a saída JSON para falhar o build quando surgir uma vulnerabilidade crítica.
- Cron com alerta no Slack: agende a varredura periódica em produção e envie o resumo do relatório para um canal de segurança, garantindo que ninguém precise lembrar de rodar manualmente.
- Inventário centralizado: consolide os relatórios JSON de múltiplos sites em um painel único, transformando dezenas de instalações WordPress em uma visão de risco gerenciável.
É assim que rodamos a auditoria de vulnerabilidades em escala aqui na Apiki: varredura automatizada, triagem por severidade e resposta priorizada. Ferramenta sozinha não protege; processo é o que faz a diferença.
Perguntas frequentes sobre WPScan
O WPScan é gratuito?
Sim. O WPScan CLI é open source e gratuito. O que exige um plano é o acesso à base de vulnerabilidades via API. O plano gratuito libera 25 requisições por dia, e há planos pagos a partir de US$ 39 por mês para volumes maiores ou uso corporativo.
O WPScan funciona em Windows?
Não nativamente. O WPScan roda em Linux e macOS. Usuários de Windows conseguem executá-lo através do WSL (Windows Subsystem for Linux) ou da imagem oficial em Docker, que é independente do sistema operacional.
Usar o WPScan contra um site sem autorização é legal?
Não. Escanear ativamente um site que você não administra ou não tem permissão explícita para testar pode configurar acesso não autorizado, infração prevista em lei. Use o WPScan apenas em ambientes próprios ou com autorização formal por escrito do responsável.
Qual a diferença entre WPScan e Wordfence?
O WPScan é um scanner externo de caixa-preta, que analisa o site de fora e cruza com CVEs conhecidos. O Wordfence é um plugin interno, instalado no próprio WordPress, com foco em firewall e detecção de malware já presente. São complementares, não concorrentes diretos.
O WPScan detecta malware já instalado?
Não é a especialidade dele. O WPScan identifica vulnerabilidades conhecidas que podem ser exploradas, mas não varre arquivos em busca de código malicioso injetado. Para detecção de malware, combine-o com ferramentas como Wordfence ou Sucuri.
Com que frequência devo rodar o WPScan em produção?
Em ambientes ativos, o ideal é uma varredura semanal automatizada, mais uma execução a cada deploy que altere plugins ou temas. Como novas vulnerabilidades surgem todos os dias, intervalos longos deixam janelas de exposição perigosas.
O WPScan derruba o site durante a varredura?
Uma análise de enumeração padrão é leve e não costuma impactar o site. O cuidado fica por conta dos testes de força bruta com wordlists grandes, que geram muitas requisições. Em produção, ajuste o throttle e prefira rodar esses testes em horários de baixo tráfego.
Conclusão
O WPScan é uma das melhores ferramentas para identificar vulnerabilidades em WordPress, plugins e temas antes que elas virem incidente. Com instalação via gem ou Docker, API token configurado e comandos de enumeração dominados, você ganha uma visão clara da superfície de ataque do seu site, na mesma perspectiva de um invasor externo.
Mas a ferramenta é só metade do trabalho. Encontrar a vulnerabilidade não resolve nada se não houver resposta: aplicar o patch, fazer hardening do servidor e manter monitoramento contínuo. É a diferença entre saber que existe um risco e efetivamente eliminá-lo.
Aqui na Apiki, rodamos esse ciclo completo em escala para ambientes WordPress de missão crítica. Se a sua operação não pode parar por causa de um plugin vulnerável, conheça nosso serviço de hospedagem com segurança gerenciada e deixe que nosso time cuide da varredura, da resposta e do hardening contínuo para você.
