A maioria das PMEs portuguesas confia em plugins WordPress para funcionalidades essenciais dos seus sites, mas poucas têm noção do risco real que correm. Em 2026, uma pipeline de inteligência artificial descobriu mais de 300 vulnerabilidades críticas em plugins WordPress em apenas 72 horas. E o tempo entre a divulgação de uma falha e a sua exploração massiva é agora de apenas cinco horas.
O que é e como funciona
Imagine um segurança que consegue inspeccionar milhares de portas em segundos, identificar as que estão mal fechadas e ainda confirmar se alguém consegue entrar. É exactamente isso que esta pipeline de IA faz com plugins WordPress. Em vez de auditorias manuais demoradas e caras, a tecnologia combina análise estática de código com verificação automatizada. Cada vulnerabilidade encontrada é validada manualmente por investigadores antes de ser comunicada, o que elimina falsos positivos e garante que os alertas são reais.
O relatório da Patchstack de 2026 dá um nome a uma das causas principais: vibe coding. O termo descreve programadores que usam IA para gerar código que não conseguem auditar. Confiam que o resultado é seguro, mas a IA salta sistematicamente as partes aborrecidas da segurança: validação de permissões, escape de dados, verificações de nonce. Uma agência relatou ter encontrado 100 problemas de segurança distintos num único plugin criado por vibe coding. O problema não é a IA escrever código — é escrever código que ninguém revê.
O que diferencia das alternativas
Até agora, a segurança dos plugins dependia de dois factores: a obscuridade (ninguém conhece o plugin, logo ninguém o ataca) e o tempo (entre a descoberta de uma falha e a actualização, havia uma janela para reagir). Ambos desapareceram. A IA consegue analisar todo o ecossistema de plugins em horas, encontrando falhas mesmo nos mais obscuros. E a Patchstack mediu o tempo médio ponderado entre a divulgação pública de uma vulnerabilidade e a exploração massiva: cerca de cinco horas. Cinco horas não é uma janela de reacção — é um instante.
Além disso, a confiança dupla no código gerado por IA agrava o cenário. Primeiro, confia-se que a IA produziu algo seguro. Depois, dentro do próprio código, o output do modelo é tratado como inofensivo e processado sem verificações. Foi exactamente isso que aconteceu com o autor do artigo original: uma injecção de HTML escapou directamente do output do modelo de IA do seu chatbot, porque ninguém validou o que a IA devolvia. A falha estava no duplo salto de confiança.
O que isto significa para PMEs portuguesas
Se o site da sua empresa corre sobre WordPress — e a probabilidade é alta — este alerta é directo. As vulnerabilidades em plugins WordPress já não são um problema apenas para grandes empresas com equipas de segurança. A IA democratizou a descoberta de falhas, tanto para o bem como para o mal. Um atacante com acesso a ferramentas semelhantes pode encontrar e explorar uma falha no plugin que instalou há meses e de que já nem se lembra.
O custo de uma intrusão pode ir muito além da reparação técnica: perda de dados de clientes, danos à reputação, coimas ao abrigo do RGPD e dias de site em baixo. Como explicamos no nosso guia de cibersegurança para negócios digitais, a prevenção é sempre mais barata do que a remediação. Para uma PME, ter um site desenvolvido com padrões de segurança desde a raiz — como os que aplicamos na criação de websites corporativos — reduz drasticamente a superfície de ataque. Não se trata de eliminar todos os plugins, mas de escolher os que são mantidos por equipas que levam a segurança a sério e de os manter actualizados em horas, não em semanas.
O erro que a maioria comete
A maioria das empresas acredita que manter os plugins actualizados é suficiente. Ou que, por usar plugins pouco conhecidos, está fora do radar dos atacantes. A realidade de 2026 é que a IA varre tudo. A obscuridade já não protege, e cinco horas não chegam para reagir a um aviso de actualização. O erro é confiar na inércia como estratégia de segurança.
Riscos e limitações
A pipeline de IA que descobriu as 300 vulnerabilidades é uma ferramenta de investigação, não um produto disponível para qualquer empresa. Isso significa que, para já, as PMEs não podem simplesmente passar os seus plugins por um scanner milagroso. A protecção continua a depender de boas práticas de desenvolvimento e de uma selecção criteriosa de plugins. Além disso, a IA não é infalível: pode deixar escapar falhas mais complexas ou gerar falsos positivos que, embora validados manualmente neste estudo, consomem recursos. Para quem desenvolve ou manda desenvolver plugins à medida, o risco de vibe coding é real: código gerado por IA sem revisão humana é um convite a vulnerabilidades.
Veredito Descomplicar®
Este é um daqueles momentos em que a tecnologia acelera dos dois lados ao mesmo tempo. A IA escreve plugins mais depressa, mas também encontra as falhas mais depressa. Para uma PME portuguesa, a conclusão é clara: a segurança do site deixou de ser um luxo técnico para se tornar uma condição de sobrevivência digital. Vale a pena investir numa abordagem preventiva — seja através de uma criação de websites com segurança integrada, seja com auditorias regulares. Cinco horas é muito pouco tempo para remediar o que podia ter sido evitado.
Fonte: Dev.to IA
