Alternativas ao WordPress inspiradas nas vulnerabilidades do PHP
Compare se deseja continuar com o WordPress ou mudar para um site estático ou CMS gerenciado. Explicaremos o WAF da Cloudflare, o formulário de consulta e exemplos de preços para uso geral e corporativo com ilustrações.
Depois de experimentar a resposta às vulnerabilidades do WordPress, algumas pessoas podem se perguntar: ``Podemos continuar a operar com o mesmo sistema?'' Mesmo se você estiver procurando um novo destino, há muita terminologia técnica e pode ser difícil entender o que vai mudar.
Este artigo explica como continuar usando o WordPress e como mudar para um sistema diferente para pessoas que administram blogs pessoais, sites de hobby e sites corporativos. Também apresentaremos medidas de segurança, formulários de contato e diretrizes de preços ao usar o Cloudflare.
Sair do WordPress não é a resposta para todos os sites. Classificando as ``funções necessárias'', ``pessoa que irá atualizar'' e ``pessoa responsável pela manutenção'', você será capaz de encontrar o método que mais lhe convém.
Este artigo é uma comparação e consideração de design baseada em materiais oficiais. Não apresenta resultados reais de trabalho de migração, reprodução de ataques ou redução de custos.
O problema desta vez está no PHP, que é a base do WordPress.
WordPress é um software para postagem e gerenciamento de artigos. Um dos mecanismos que suporta esta operação é o PHP, que roda no servidor.
Em outubro de 2026, foram anunciadas as seguintes vulnerabilidades graves no PHP. Uma vulnerabilidade é uma fraqueza no software que pode ser explorada em um ataque.
- CVE-2026-109618:Quando o processamento é interrompido devido à memória insuficiente, o pós-processamento trata dados internos incompletos.
- CVE-2026-109619: um problema em que as informações internas que apontam para a memória que foi usada permanecem e as solicitações subsequentes referem-se às informações antigas.
As condições podem permitir que terceiros executem código arbitrário em seu servidor. Este é um problema separado do próprio WordPress, portanto, além de atualizar o WordPress e os plug-ins, você também precisa verificar se há correções no lado do PHP.
As versões nas quais a correção foi fornecida pela primeira vez são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Verifique as instruções da sua empresa de hospedagem ou provedor de sistema operacional para obter suporte real. Além do número da versão, você precisa verificar se o provedor aplicou alguma correção.
Referência: IPA: vulnerabilidades e contramedidas atuais do PHP / oficial do PHP: OOM problema de processamento ／ Funcionário do PHP: problema com estado interno antigo restante
Primeiro, verifique o status de compatibilidade do serviço que você está usando e aplique as correções necessárias. A investigação e a recuperação também são necessárias se houver suspeita de violação. A simples mudança para outro serviço não significa que a infração existente tenha sido resolvida.
Antes de procurar uma alternativa, organize o estilo de redação do artigo e os recursos necessários
Gostaria de começar minha comparação é como costumo atualizar. Quer escrever do seu smartphone ou pode editar o arquivo no seu computador? Você precisa de comentários, registro de membro e funções de vendas? Suas opções mudarão de acordo.
Opção 1: continuar com o WordPress e revisar a manutenção
Se você achar a tela de edição atual e os recursos confortáveis de usar, você terá a opção de continuar. Plugins são componentes que adicionam funcionalidade. Decida quem será o responsável pela atualização da unidade principal, plugins, tema e PHP, e o procedimento para restauração do backup.
Ao confiar a manutenção a uma empresa de manutenção ou serviço gerenciado, verifique o escopo do trabalho, inclusive se eles serão capazes de lidar com problemas de plug-in e recuperação.
Referência: Guia oficial de segurança do WordPress
Opção 2: use um CMS gerenciado ou serviço de criação de sites
CMS é um sistema que permite criar e gerenciar artigos a partir de um navegador. Se for um serviço gerenciado, você poderá deixar a manutenção dos servidores, etc., para a operadora. O escopo da responsabilidade varia dependendo do serviço.
Além da tela de edição, facilidade de uso em japonês, funções necessárias e preços, verificaremos se você pode exportar artigos e imagens e migrar para outro serviço. Não classificaremos aqui serviços específicos em termos de segurança.
Opção 3: torne-o um site estático
Um site estático é um método de distribuição de páginas pré-fabricadas. Sites que publicam principalmente textos e imagens são candidatos. Por outro lado, a tela de lançamento deve ser preparada separadamente.
Existem maneiras de editar diretamente arquivos de páginas chamados HTML, usar ferramentas que geram páginas a partir de manuscritos e combiná-los com um CMS para edição. Quanto mais você compensa pela facilidade de atualização, mais mecanismos você terá que manter.
A Cloudflare possui serviços para distribuição de páginas e medidas de segurança, mas apenas selecionar Páginas ou Workers Static Assets não fornece uma tela de postagem como o WordPress. ``Como escrever artigos'' e ``onde distribuir páginas'' são considerados separadamente.
| No que eu quero focar | Direção a considerar |
|---|---|
| Quer postar facilmente em seu smartphone ou navegador? | CMS fácil de usar com tela de continuação ou edição do WordPress |
| Quero que várias pessoas editem e aprovem | CMS com gerenciamento de permissões e funções de aprovação |
| Principalmente texto e imagens, e arquivos também podem ser editados. | HTML estático ou ferramenta de geração de páginas |
| É necessário histórico de associação/pagamento/compra | Considere incluir serviços dedicados e processamento dinâmico |
Reduza os ataques antecipadamente com o WAF da Cloudflare
A Cloudflare possui um WAF que inspeciona comunicações suspeitas antes do site. Ele desempenha um papel semelhante ao da segurança em uma recepção e pode bloquear comunicações que se assemelham a ataques conhecidos e restringir o acesso por origem ou número de vezes que são enviadas.
O Free possui regras para algumas ameaças, e o Pro e superiores possuem uma gama mais ampla de regras gerenciadas. Regras gerenciadas são regras de julgamento preparadas e atualizadas pela Cloudflare. As contramedidas DDoS são contramedidas contra ataques que tornam um site inutilizável devido a uma grande quantidade de tráfego.
As regras de proteção para esta vulnerabilidade do PHP também foram tornadas públicas. No entanto, existem condições de aplicação dependendo das configurações e é uma contramedida contra ataques conhecidos. Não é possível concluir que se você usa Cloudflare, não precisa atualizar o PHP.
Referência: comparação de recursos do WAF / contramedidas e condições do WAF para esta vulnerabilidade do PHP
Se o servidor original estiver localizado separadamente, também serão necessárias medidas para evitar ignorar o WAF acessando diretamente esse servidor. Mesmo para sites estáticos, leve em consideração questões como sequestro de contas públicas, problemas com serviços externos e envios de formulários não solicitados.
Basta fazer uma consulta e deixar a Cloudflare cuidar disso.
Isso não significa que você não possa fazer consultas em um site estático. A página permanece estática e você pode adicionar processamento apenas à parte que aceita consultas.
Workers é um serviço que executa pequenos programas como recepção de formulários na Cloudflare. Turnstile é um mecanismo para reduzir o envio por bots, e o Email Service é responsável pelo envio de emails de notificação.
O envio de um e-mail é gratuito se você quiser apenas notificar um endereço de administrador verificado. Para responder automaticamente aos questionadores, utilize Envio de Email e Trabalhadores Pagos, que podem ser enviados para qualquer destinatário. O envio de e-mail está em versão beta no momento da confirmação das informações.
E-mail Routing é um serviço que encaminha e-mails endereçados ao seu próprio domínio para sua caixa de entrada existente. Ele não fornece uma caixa de entrada propriamente dita para leitura de e-mails. Além disso, notificar o administrador por meio de um formulário e encaminhar e-mails para seu próprio domínio são funções separadas.
Para evitar perda de consultas, também elaboramos orientações em caso de falha na transmissão, tratamento de retransmissões e confirmação de recebimento. Também é importante não pedir muitas informações confidenciais em um formulário e decidir onde salvá-las, quem pode visualizá-las e por quanto tempo serão mantidas. Se você já possui um serviço de e-mail, certifique-se de não alterar acidentalmente as configurações de DNS que determinam os destinatários.
A catraca requer JavaScript no seu navegador. Iremos fornecer-lhe métodos de contacto alternativos para que possa contactar-nos mesmo que o pedido seja inválido ou a transmissão falhe. O texto e o índice do site podem ser separados do formulário e configurados para serem legíveis em HTML normal.
Referência: Como validar o Turnstile / Visão geral do serviço de e-mail / Configurar encaminhamento de e-mail
Quanto custa para uso geral/uso corporativo?
A seguir está um exemplo de configuração assumindo um site estático com um domínio e um pequeno formulário de consulta. Não inclui serviços adicionais, como tela de postagem CMS, funções de adesão/pagamento, armazenamento de anexos, monitoramento/reenvio. Se quiser manter o WordPress, você precisará pagar pelo servidor separadamente.
Os valores estão em dólares americanos em 25 de outubro de 2026. Impostos, taxas de câmbio, aquisição e renovação de domínios exclusivos, caixas de entrada e custos de mão de obra para produção e manutenção não estão incluídos. Pense nisso como ``taxa mensal mínima + valor além do uso incluído''.
Uso geral: Se você deseja apenas notificar o administrador, comece com o nível gratuito.
Para blogs pessoais, sites de hobby, etc., seria bom poder ver as dúvidas em sua própria caixa de entrada. Não haverá resposta automática e o resultado da transmissão será exibido na tela.
| Objetivo | O que usar | Taxa mensal estimada |
|---|---|---|
| Entrega de página | Pages／Workers Static Assets | $0 |
| Medidas de segurança de entrada | Plano Gratuito do Site | $0 |
| Medidas anti-bot | Turnstile Free | $0 |
| Recepção de inquérito | Workers Free | US$ 0 (dentro do nível gratuito) |
| Notificação do administrador | Enviar para destino confirmado | $0 |
| Total aproximado | $ 0 (nível gratuito/limitado) | |
Se o nível gratuito é suficiente depende não apenas do número de acessos, mas também do tempo de processamento e implementação. Mesmo que o e-mail de notificação ao administrador seja gratuito, existem outras restrições à execução do programa de recebimento.
Uso corporativo: adicione resposta automática e WAF pago
Este é um exemplo de retorno de um e-mail de recepção ao solicitante e uso de regras WAF mais amplas. Isso não significa que você necessariamente precise desse plano só porque é uma empresa. Escolha de acordo com a função do site e o impacto da interrupção.
| Objetivo | O que usar | Pagamento mensal estimado |
|---|---|---|
| Entrega de página | Pages／Workers Static Assets | $0 |
| WAF pago etc. | Plano Pro do site | $25 |
| Medidas anti-bot | Turnstile Free | $0 |
| Recepção/Resposta automática | Workers Paid＋Email Sending | Mínimo $ 5 |
| Notificação do administrador | Enviar para destino confirmado | $0 |
| Total aproximado | Mínimo US$ 30/mês + uso excedente | |
Workers Paid inclui um subsídio mensal de envio de e-mail de 3.000 e-mails com um preço base de no mínimo US$ 5/mês. O excedente é de US$ 0,35 por 1.000 e-mails. Os envios para administradores confirmados não estão incluídos neste quadro. Como o reenvio e outras finalidades também utilizam a cota de envio, não há garantia de que poderemos receber 3.000 consultas.
Comparação incluindo pagamento anual e negócios
| Exemplo de configuração | Taxa mensal básica | Conversão mensal para plano de site pago anualmente |
|---|---|---|
| Uso geral: Gratuito + Trabalhadores Gratuitos | US$ 0 (dentro do nível gratuito) | US$ 0 (dentro do nível gratuito) |
| Adicionar resposta automática: Gratuito + Trabalhadores Pagos | Mínimo $ 5 | Mínimo $ 5 |
| Exemplo de uso corporativo: Pro+Workers Paid | Mínimo $ 30 | Valor mínimo de $ 25 |
| Se os requisitos forem rigorosos: Empresa + Trabalhadores Pagos | Mínimo $ 255 | Valor mínimo de $ 205 |
Os pagamentos anuais para o Pro são de US$ 240/ano e os pagamentos anuais para o Business são de US$ 2.400/ano. Um mínimo de US$ 5/mês para Trabalhadores e o uso excessivo serão cobrados separadamente. Este não é um contrato em que você paga mensalmente o valor equivalente mostrado na tabela.
A empresa possui um SLA (acordo contratual de tempo de atividade) para planos de sites, mas isso não garante todo o sistema, incluindo processamento de formulários e entrega de e-mail. Se a operação contínua for importante, avalie a detecção de falhas, a recuperação de falhas e o tratamento de recursos beta.
Workers Paid é um plano para execução de programas, etc. Pro/Business é um plano para sites como o WAF. Mesmo se você assinar o Workers Paid, o WAF pago não será anexado automaticamente.
As solicitações de arquivos estáticos são gratuitas e ilimitadas, mas há restrições quanto ao número de arquivos, capacidade, etc. Presume-se que o WAF esteja definido para uma rota aplicável, como o próprio domínio do alvo, e deve-se tomar cuidado ao acessar de outro URL público.
Antes de migrar, verifique se haverá algum problema antes de considerar o preço.
Se atualizar sempre se tornar um fardo após a migração, será difícil continuar usando o site. Achamos que é uma boa ideia tentar primeiro postar e publicar um pequeno número de artigos.
- Atualização:O responsável pode escrever o artigo, adicionar imagens e publicá-lo?
- Página existente:O URL anterior pode ser mantido? Se eu quiser alterá-lo, posso ser guiado/redirecionado a partir do URL antigo?
- Funções anexadas:Como transferir comentários, pesquisas, categorias, RSS, formulários, etc.
- Recuperação:se você publicar conteúdo incorreto, poderá retornar ao estado anterior?
- Exportar: É possível fazer backup de artigos e imagens e movê-los para outro lugar no futuro?
- Gerenciamento:a conta pode ser gerenciada por várias pessoas? Posso configurar a autenticação multifator?
Também existe uma maneira de continuar usando o WordPress e configurar um sistema de manutenção. Você pode deixar isso para um serviço gerenciado ou pode tornar o lado da publicação estático. Gostaria de selecionar a configuração adequada ao meu site, verificando as funções necessárias e o escopo de atualizações e manutenção contínuas.
A ilustração é um diagrama explicativo criado para este artigo. Os preços e condições de fornecimento estão sujeitos a alterações.