|
|
Segurança & Infra WordPress
As “melhores” ou piores notícias da semana • 25 de setembro de 2026
|
|
|
Foi uma semana pesada para quem cuida de sites WordPress: o núcleo recebeu duas atualizações de segurança em poucos dias — a 7.1.1 e a 7.1.2 — e a mais recente já está sob ataque ativo horas depois de publicada. Some a isso falhas críticas em plugins muito usados (formulários, calendário de eventos, migração) e um malware sofisticado descoberto se escondendo como must-use plugin, e o recado é claro: atualizar não é mais opcional, é rotina de sobrevivência. Bora ao que interessa 👇
|
|
🚨 Atualize agora
Falha crítica do núcleo (CVE-2026-87902) já está sendo explorada — atualize para o WordPress 7.1.2
A primeira tentativa de exploração foi registrada às 11h49 UTC do próprio dia da correção, e o tráfego malicioso cresceu mais de dez vezes nos dias seguintes, com templates de varredura (Nuclei) já circulando publicamente. Os atacantes miram sites cujo tema ativo tenha uma pasta “page-*” na raiz e que exponham um arquivo PHP legível, como o pearcmd.php do PEAR, usado para gravar arquivos PHP maliciosos no disco. Quem ainda não aplicou a 7.1.2 (ou a correção equivalente do seu ramo) deve tratar isso como prioridade máxima.
Ver detalhes →
|
|
|
|
WordPress 7.1.2 corrige falha crítica de path traversal sem autenticação no núcleo
Cinco dias depois da 7.1.1, o WordPress lançou em 22/09 a versão 7.1.2 para corrigir a CVE-2026-87902 (CVSS 9,2): uma falha de path traversal na escolha de template de página que permite a qualquer visitante, sem login, fazer o site carregar arquivos PHP locais fora da pasta do tema. Em servidores cujo tema ativo tenha uma pasta de primeiro nível começando com “page-” e com o PHP usando register_argc_argv ativado, isso pode virar execução remota de código. Todas as versões de 4.7.0 a 7.1.1 são afetadas — inclusive quem tinha acabado de atualizar para a 7.1.1.
Leia mais →
· Fonte: thehackernews.com
|
💬 Comentário do editor: quem atualizou para a 7.1.1 na semana passada ainda não está protegido. Confira a versão em todos os sites, não só no principal.
|
|
|
WordPress 7.1.1 corrige “Click2Shell”, falha que força a instalação de tema e pode virar execução remota de código
Lançada em 17 de setembro com 11 correções, a 7.1.1 fecha a falha apelidada de “Click2Shell”: um link malicioso aberto por um administrador já autenticado engana o núcleo e instala, sem clique real em “Instalar”, um tema escolhido pelo atacante direto do repositório oficial. Sozinha, a falha tem CVSS 7,1; encadeada a outra falha em um tema específico que baixa e executa pacotes remotos sem checar permissão, o ataque chega a CVSS 9,6 e execução remota de código. O release também corrigiu um XSS armazenado em wpautop() explorável via comentários por visitante não autenticado. Não há indícios de exploração ativa desta falha, e o backport cobre até a série 4.7.
Leia mais →
· Fonte: thehackernews.com
|
|
🔌 Vulnerabilidades em plugins
|
| |
|
Gravity Forms corrige falha crítica de upload de arquivo sem autenticação
A CVE-2026-84434 (CVSS 9,8) afeta o Gravity Forms — mais de 1 milhão de instalações — em todas as versões até a 3.1.0.4. Quando um formulário público tem um campo de upload com visibilidade “Oculto”, a validação de extensão pode ser contornada e um estado de upload malformado é processado sem nova checagem, permitindo que um atacante não autenticado envie um arquivo potencialmente executável e obtenha execução remota de código. A correção está na versão 3.1.1. Sites com formulários condicionais que usam campos de upload ocultos — configuração comum em integrações — estão em risco imediato.
Leia mais →
· Fonte: wordfence.com
|
|
The Events Calendar corrige duas cadeias críticas de execução remota de código sem autenticação
A Wordfence identificou duas cadeias independentes (CVE-2026-78006 e CVE-2026-78159, CVSS 9,8) no The Events Calendar, usado em mais de 600 mil sites. Ambas exploram o link de pré-visualização de moderação de um comentário não aprovado em página pública de evento, sem exigir login. A primeira usa injeção de objeto PHP para executar comandos no servidor; a segunda abusa de um callback arbitrário para redefinir a senha do administrador, abrindo caminho para upload de plugin malicioso e controle total do site. A correção está na versão 6.17.4.1.
Leia mais →
· Fonte: wordfence.com
|
|
WP Photo Album Plus tem execução remota de código sem correção até o momento
A CVE-2026-87909 (CVSS 7,5) afeta todas as versões do plugin, inclusive a mais recente (9.2.09.002). O nome do arquivo enviado no upload não é sanitizado corretamente antes de entrar em um comando do ImageMagick executado via exec(), e a proteção existente (escapeshellcmd) não impede a injeção de argumentos extras. Um usuário com o nível mais baixo (assinante) pode enviar um arquivo com nome malicioso e executar código no servidor. Como ainda não há patch, a única defesa por ora é desativar o plugin ou restringir o cadastro de usuários.
Leia mais →
· Fonte: wordfence.com
|
|
|
Ataques ativos exploram o WooCommerce Wholesale Lead Capture para plantar web shells
A Wordfence reportou exploração ativa da CVE-2026-27540 (CVSS 9,8) no plugin premium WooCommerce Wholesale Lead Capture, com mais de 6 mil instalações. A ação AJAX “wwlc_file_upload_handler” não valida o tipo de arquivo enviado, permitindo upload de PHP arbitrário sem autenticação. A correção saiu em fevereiro de 2026 (versão 2.0.3.2), mas a Wordfence já bloqueou mais de 100 mil tentativas desde junho — prova de que sites desatualizados continuam sendo alvo meses depois do patch. Nos ataques observados, o invasor planta um “shell.php” que funciona como web shell completo.
Leia mais →
· Fonte: thehackernews.com
|
|
Malware para WordPress se esconde como must-use plugin e usa blockchain como comando e controle
A Wordfence documentou um malware instalado em wp-content/mu-plugins que some das telas de plugins, atualizações e Saúde do Site, cria ou sequestra contas de administrador, captura senhas no login e vasculha wp-config.php, .env e .git/config atrás de segredos de pagamento e chaves de API. Ele se autorrestaura a partir de uma cópia salva no banco, pode se espalhar para outros sites WordPress no mesmo servidor e busca seus servidores de comando em contratos inteligentes na rede Ethereum (técnica conhecida como EtherHiding), o que dificulta o bloqueio por domínio. Já foram vistas mais de 4.000 variações de nome de arquivo.
Leia mais →
· Fonte: cybersecuritynews.com
|
|
🖥️ Infraestrutura & hosting
|
| |
|
Falhas críticas no cPanel/WHM e no WP Toolkit ameaçam sites WordPress em hospedagem compartilhada
A cPanel Inc. corrigiu três falhas no cPanel/WHM (versão 120+): a CVE-2026-87899 permite que uma conta de hospedagem autenticada execute código como root e assuma o servidor inteiro; a CVE-2026-87900, no WP Toolkit — usado por muitas hospedagens para gerenciar instalações WordPress —, permite manipular o banco de dados de outras contas no mesmo servidor; e a CVE-2026-68490 expõe dados de calendário e contatos entre contas. Na prática, um cliente malicioso pode comprometer sites de outros clientes no mesmo servidor. A correção depende da hospedagem, não do site: vale perguntar ao suporte se a atualização já foi aplicada.
Leia mais →
· Fonte: thehackernews.com
|
|
💎 Dica da semana
Com tanto malware se escondendo em arquivos do core e em mu-plugins, vale criar o hábito de rodar
wp core verify-checksums e
wp plugin verify-checksums --all
via WP-CLI periodicamente (ou num cron semanal). Os comandos comparam os arquivos do seu WordPress e dos plugins do repositório oficial com os checksums publicados pelo WordPress.org e apontam qualquer arquivo alterado ou adicionado — exatamente o sinal que teria exposto mais cedo o malware de mu-plugin desta edição. Combine com um scanner de malware (Wordfence ou Sucuri) para cobrir também plugins fora do repositório e temas customizados.
|
|
|
|
|
|
|
📅 Esta semana na tecnologia
- 25 de setembro de 1987: a IBM anuncia a Micro Channel Architecture (MCA), sua aposta para suceder o barramento ISA nos PCs — lembrete de como decisões de arquitetura podem definir (ou limitar) uma geração inteira de máquinas.
- 26 de setembro de 1924: nasce Jean Hoerni, físico suíço cujo processo planar foi peça-chave para o circuito integrado moderno — sem ele, nenhum servidor rodando WordPress existiria.
- 23 de setembro de 1785: nasce Georg Scheutz, que décadas depois construiria com o filho uma das primeiras máquinas de calcular baseadas na Máquina Diferencial de Babbage — a automação de tarefas repetitivas é bem mais antiga que o WP-CLI.
|
|
|
Foi uma semana de atualizar rápido e revisar duas vezes: núcleo, plugins de formulário e infraestrutura de hospedagem tiveram patches críticos quase ao mesmo tempo. Bom fim de semana e até a próxima edição!
Gostou desta edição? Encaminhe para alguém que cuida de sites WordPress 💚
|
Abraços,
Edson Vieira Demétrio
WP Blog BR
|
|
Esta edição também está disponível no site:
ler no blog →
|
|
|