Site invadido: o que fazer e como se proteger em 2026

Se o seu site foi invadido, aja nesta ordem: tire-o do ar, troque todas as senhas, avise a hospedagem, restaure um backup limpo e atualize tudo antes de voltar. E se o seu site roda uma plataforma desatualizada, este artigo chegou na hora certa: em julho de 2026, o WordPress lançou uma atualização de emergência (versão 7.0.2) para corrigir uma cadeia de falhas críticas apelidada de “WP2Shell” — que permite a um atacante sem senha nenhuma criar uma conta de administrador e executar código no servidor. E o pior: a exploração ativa começou poucos dias depois da divulgação.

Neste guia: o passo a passo da recuperação, como a invasão acontece (vivemos um caso real de perto), o estrago que ela faz no Google — e como sair desse ciclo de vez.

O passo a passo se o seu site já foi invadido

1. Contenha: coloque o site em modo manutenção ou tire-o do ar. Cada hora no ar espalha mais spam, malware e dano à sua marca.
2. Troque todas as senhas — painel administrativo, FTP, banco de dados, hospedagem e e-mails do domínio. Todas, não só a “principal”.
3. Avise a hospedagem. Provedores sérios têm procedimento para isso e podem identificar o vetor da invasão nos logs.
4. Restaure um backup anterior à invasão. É o caminho mais confiável — “limpar” um site invadido na mão quase sempre deixa portas escondidas (backdoors) para o invasor voltar.
5. Atualize tudo antes de voltar ao ar: núcleo do CMS, plugins, temas. Voltar com a mesma versão vulnerável é reabrir a mesma porta.
6. Verifique o Google Search Console: seção “Segurança e ações manuais”. Se houver aviso, corrija e solicite reavaliação — é o que remove o alerta vermelho de “site perigoso”.

Como a invasão acontece (um caso que acompanhamos de perto)

Um dos sites que reconstruímos — de um provedor regional de internet — foi invadido exatamente assim: a plataforma antiga (um CMS popular) ficou sem atualização, uma vulnerabilidade conhecida foi explorada por um ataque automatizado, e o site amanheceu com centenas de páginas de spam criadas pelo invasor. Nenhum hacker “escolheu” a empresa: robôs varrem a internet 24 horas por dia procurando versões vulneráveis, e atacam o que encontram.

Esse é o ponto que muda a forma de pensar segurança: não é preciso ser alvo para ser vítima. Basta estar desatualizado. A limpeza envolveu remover as URLs de spam, reconstruir o site em uma estrutura moderna e segura e refazer a reputação junto ao Google — semanas de trabalho que uma atualização em dia teria evitado.

O caso WP2Shell: por que 2026 acendeu o alerta máximo

A cadeia de falhas corrigida na versão 7.0.2 do WordPress (CVE-2026-60137 + CVE-2026-63030) é do tipo mais perigoso que existe: permite execução remota de código sem autenticação. Em português claro: um atacante, sem usuário nem senha, pode assumir o site. O WordPress publicou correção para as versões suportadas — mas aqui mora o problema silencioso:

• Sites abandonados não se atualizam sozinhos. Na nossa análise de dezenas de sites de pequenos negócios este mês, encontramos versões de WordPress de anos atrás em produção — cada uma com falhas públicas e documentadas.
• Plugins e temas multiplicam o risco. O núcleo é só uma parte: cada plugin é um software de terceiro com suas próprias falhas.
• A janela é de dias, não meses. No WP2Shell, a exploração ativa começou na mesma semana da correção. Quem atualiza “quando der” está sempre atrás.

O que a invasão faz com o seu ranqueamento

O prejuízo não é só técnico — é comercial:

Efeito	Consequência
Aviso “site perigoso” no navegador/Google	Visitantes fogem; conversão zera
Páginas de spam indexadas	O Google associa seu domínio a conteúdo lixo
Possível ação manual	Remoção parcial ou total das buscas
Queda de confiança do algoritmo	Recuperação lenta, mesmo depois da limpeza

Sites que construíram autoridade ao longo de meses podem ver o trabalho evaporar em dias. E a recuperação da confiança — do Google e dos clientes — é sempre mais lenta que a queda.

Os sinais silenciosos de que você já foi invadido (e não sabe)

A invasão moderna raramente picha a home — o invasor lucra mais invisível, usando seu site para spam, golpes e links escondidos. Faça este check de 5 minutos hoje:

• Busque site:seudominio.com.br no Google e role os resultados: páginas em outro idioma, de produtos que você não vende ou com títulos estranhos são o sintoma clássico (foi assim que o caso que acompanhamos foi descoberto).
• Confira usuários administradores no painel: contas que você não criou = alerta máximo.
• Abra o site em aba anônima e pelo celular: alguns malwares só redirecionam visitantes vindos do Google, para o dono não perceber.
• Search Console → Segurança e ações manuais: é onde o Google avisa primeiro.
• Caiu o tráfego sem explicação? Cruzando com os pontos acima, invasão entra na lista de suspeitas.

Encontrou qualquer um desses sinais? Volte ao passo a passo do início — quanto antes contiver, menor o estrago.

Checklist pós-recuperação (para não voltar ao mesmo lugar)

Recuperar o site é metade do trabalho; a outra metade é garantir que a porta não continua aberta:

1. Descubra o vetor — de nada adianta limpar se a mesma falha continua lá (logs da hospedagem ajudam a identificar).
2. Remova o que não usa: plugins e temas desativados continuam sendo código explorável no servidor.
3. Ative atualizações automáticas ao menos para correções de segurança.
4. Backups automáticos e testados — backup que nunca foi restaurado é uma promessa, não uma proteção.
5. Reveja acessos: quem tem senha do painel? Ex-funcionários, ex-agências?
6. Peça a reavaliação no Search Console e acompanhe a reindexação — a remoção do aviso “site perigoso” não é instantânea.

Prevenção: as duas estratégias possíveis

Estratégia 1 — Manutenção disciplinada (se você fica na plataforma atual): atualizações do núcleo, plugins e temas na semana em que saem; remoção de plugins abandonados; senhas fortes + duplo fator; backups automáticos testados; firewall de aplicação (WAF). Funciona — mas é uma corrida permanente, e basta uma semana de descuido.

Estratégia 2 — Eliminar a superfície de ataque (a estrutural): a maioria esmagadora das invasões entra por painel administrativo público, plugins de terceiros e código executado no servidor a cada visita. Sites de nova geração simplesmente não têm essas portas: as páginas são servidas prontas, sem painel exposto e sem plugins — sobrando ao atacante uma superfície próxima de zero. É a arquitetura que usamos nas migrações de sites e na criação de sites novos: o cliente sai do ciclo “atualiza-ou-é-invadido” de uma vez.

Conclusão

Site invadido não é azar — é consequência previsível de software desatualizado num ambiente onde os ataques são automáticos e constantes. Se aconteceu com você, siga o passo a passo acima e trate a causa, não só o sintoma. E se o seu site roda numa plataforma antiga, o momento de decidir é antes do amanhecer com páginas de spam: atualize tudo hoje — ou considere migrar para uma estrutura que elimina o problema pela raiz, sem perder o que você já conquistou no Google. Nos planos, a segurança não é um plugin: é o padrão.