Analisámos 59 milhões de sites com a ajuda de IA. O resultado é desanimador.
Portugal: alcançámos 52.881 sites ativos. Desses, 18.827 utilizam WordPress e, nos casos em que foi possível identificar a versão (15.321 sites), 10.434 — 68,1% — utilizam um plugin ou tema com uma falha de segurança publicamente conhecida. Isto representa 1 em cada 5 sites de todo o país, e trata-se de um limite inferior: os sites que ocultam a versão não são de todo contabilizados. O que isto mostra é o quão desatualizados estes sistemas são mantidos.
Análise de sites ativos e com conteúdo validado · dados de vulnerabilidade da Wordfence Intelligence · instantâneo 2026-07-25 · pela Piperic
Este relatório foi produzido sem testar uma palavra-passe, analisar uma porta, sondar um formulário de login ou enviar um único pedido que um navegador comum não enviasse. Pedimos a cada site a sua página inicial — exatamente da mesma forma que o seu navegador faz quando escreve o endereço — e lemos o que foi devolvido. Tudo o que se segue é o que está visível do exterior, abrangendo Portugal e 58 outros países.
Encontrar um componente desatualizado num site costumava dar trabalho: era preciso procurar, reconhecer, cruzar dados. Foi essa parte que mudou. Ler uma página, identificar uma versão e compará-la com uma base de dados de vulnerabilidades é agora uma tarefa que uma máquina executa continuamente, à escala de toda a web. Portugal: dos sites WordPress que conseguimos medir, 53% apresentam pelo menos uma falha classificada como não exigindo quaisquer privilégios — sem conta, sem palavra-passe. Esta não é a categoria mais difícil de explorar. É a mais fácil de automatizar.
A ameaça não é que alguém esteja a visar o seu site. É que ninguém precisa de o fazer.
Proporção de sites WordPress analisados que utilizam um componente com vulnerabilidade conhecida (percentagem menor = mais atualizados). Portugal ocupa a posição #20 entre 59 países.
Países vizinhos apresentados para contexto. O ranking completo está disponível no download de dados.
Como Portugal se compara à média global de sites WordPress — e a sua exposição a uma biblioteca de front-end descontinuada, que deixou de receber correções de segurança em 2016.
Estas métricas aplicam-se a todos os sites ativos em Portugal que analisámos. Não dependem da deteção de versões, pelo que não apresentam viés de seleção.
Conclusão global — medida em todos os 59 países, não apenas para Portugal — Verificámos para onde esses formulários de palavra-passe enviam realmente a palavra-passe. Em todo o estudo, 89,1% submetem-na também em texto claro — o formulário envia os dados de volta para a mesma página não encriptada. Apenas 5,1% enviam para um endereço encriptado e, mesmo aí, a própria página pode ser reescrita em trânsito, porque chegou desprotegida.
Para cada plataforma, a proporção dos sites analisados em Portugal que continuam numa linha de versões para a qual o fornecedor deixou de publicar correções de segurança.
| Plataforma | Sites | Numa linha sem suporte |
|---|---|---|
| Joomla | 1.090 | 61,7% |
| Drupal | 559 | 29,5% |
| Magento | 327 | 7,6% |
Fim do suporte: Joomla 3.x — agosto de 2023 · Drupal 7 — janeiro de 2025 · Magento 1 — junho de 2020.
Conclusão global — medida em todos os 59 países, não apenas para Portugal — Em todo o estudo, a desfiguração visível é 45,5× mais frequente em sites Joomla do que em sites WordPress — enquanto o spam injetado, nas mesmas páginas, é apenas 1,3× mais comum, pelo que a diferença é específica de invasões. Trata-se de um instantâneo: mede quantos sites estão visivelmente desfigurados neste momento, não a frequência com que são invadidos.
Proporção dos sites WordPress analisados em Portugal que utilizam cada plugin ou tema numa versão com uma vulnerabilidade conhecida.
Entre os sites de Portugal que utilizam cada um destes componentes populares, a proporção que se encontra numa versão com vulnerabilidade conhecida. Alguns mantêm-se atualizados; construtores de páginas e sliders tendem a ficar para trás.
A divisão segue uma linha: como o componente lá chegou. Os componentes instalados diretamente — listados no painel de administração, com um botão de atualização ao lado — encontram-se no fundo desta lista. Os componentes que chegam embutidos num tema comprado, onde o proprietário pode nunca os ver listados, encontram-se no topo. O risco não é o plugin que escolheu; é aquele que nunca soube que tinha instalado.
Dos sites de Portugal que utilizam um componente vulnerável, o nível máximo de gravidade (CVSS) encontrado.
Proporção dos sites WordPress analisados em Portugal que utilizam um componente com vulnerabilidade conhecida, por setor.
| Setor | Sites | Vulneráveis |
|---|---|---|
| Compras | 135 | 77% |
| Imóveis | 142 | 75,4% |
| Automotivo | 150 | 70,7% |
| Tecnologia e informática | 203 | 65,5% |
| Negócios e finanças | 562 | 64,9% |
| Comida e bebida | 137 | 62% |
| Direito | 167 | 59,9% |
| Esportes | 195 | 40% |
O mesmo implante encontra-se em 15.852 das páginas iniciais que analisámos, contactando 2 servidores controlados pelo atacante e enviando de cada site um identificador de campanha idêntico, gravado no código: trata-se de uma única operação, não de uma coincidência. O código verifica primeiro se o visitante está num computador e, se for o caso, permanece inativo. Num telemóvel, abre uma ligação para o servidor do operador e executa no navegador do visitante tudo o que esse servidor devolver — o que acontece de facto é, portanto, decidido remotamente, no momento da visita. Em dois terços das cópias, um filtro aleatório limita esta ação a cerca de um em cada três visitantes: mais uma forma de passar despercebido.
Portugal: não identificámos nenhum site afetado — o que não significa que não existam.
⚠ Estas não são empresas comprometidas, e não as contabilizamos como tal. Analisámos os sites que contêm este código: 88% são sites de adultos em língua chinesa, de streaming pirata ou de negociação com margem, e 99,8% não utilizam nenhum sistema de gestão de conteúdos reconhecível. Parece ser uma rede a rentabilizar o seu próprio tráfego móvel. Reportamos esta situação porque a técnica é o que importa: é a mesma evasão que uma verdadeira campanha de ataque utilizaria, e é invisível para as verificações em computadores. Três quartos dos sites afetados em todo o mundo utilizam domínios genéricos (.com, .net) que não podem ser atribuídos a nenhum país, pelo que os números nacionais são um limite inferior, nunca um total. Além disso, o implante reage ao dispositivo do visitante, não ao país do site.
Indicadores detectados de forma conservadora nos sites analisados (Portugal). Cada número é um LIMITE INFERIOR — contamos apenas o que podemos identificar com alta confiança, e nunca nomeamos um site individual.
Analisámos quem apresenta estes sinais antes de os publicar: 74,2% utilizam um sistema de gestão de conteúdos reconhecível e 46% publicam um número de telefone ou um endereço de e-mail. Trata-se de empresas ativas com clientes — uma clínica de dermatologia, uma sociedade de advogados, uma instituição de solidariedade — e não de domínios abandonados. A página inicial de cada um deles está a trabalhar silenciosamente para terceiros.
⚠ O implante que encontrámos com mais frequência é ativado apenas para uma parte dos visitantes em dispositivos móveis e abre uma ligação a um servidor controlado pelo atacante, que pode então executar código arbitrário no navegador do visitante — uma tática que contorna deliberadamente as análises de segurança feitas em computadores.
Sites em Portugal cuja página inicial apresenta mensagens de erro do servidor ou caminhos internos de ficheiros — informação que ajuda um atacante a mapear o sistema.
Gratuito, sem registo — veja o que o nosso índice sabe sobre qualquer site:
Como citar: “Segundo o Relatório de Segurança WordPress da Piperic (2026-07-25), 68,1% dos sites WordPress analisados em Portugal utilizam um componente com uma vulnerabilidade conhecida…” — com link para esta página.
Descarregar os dados do país (JSON) Conjunto de dados dos rankings globais
Amostra: sites WordPress analisados em Portugal (atribuição baseada no ccTLD) onde foi possível ler a versão de pelo menos um plugin ou tema a partir da página inicial. As versões são cruzadas com a base de dados de vulnerabilidades da Wordfence Intelligence (baseada em CVE). Isto reflete o estado das atualizações — utilizar uma versão para a qual foi divulgada uma vulnerabilidade — e não se o site é efetivamente explorável. A deteção apenas na página inicial identifica componentes de front-end e não plugins de back-end. Todos os valores são agregados; nenhum site individual é identificado. Ponto de situação a 2026-07-25 (congelado). Dados de vulnerabilidades © Wordfence Intelligence, MITRE quando aplicável.
Contacto de imprensa: press@piperic.com · Dados: Piperic Business Intelligence
Todos os números nesta página podem ser reproduzidos a partir do conjunto de dados público acima.