Avada, Fusion Builder (Avada), GiveWP, Pods, TranslatePress, WPMU DEV Dashboard
Quatro falhas críticas em plugins populares, além do tema Avada, podem dar a um invasor controle total do site. Todas já têm correção.
Você mesmo
- Atualize, se usar: WPMU DEV Dashboard 5.0.2, TranslatePress 3.3.2, Pods 3.3.9.1, GiveWP 4.16.8, Avada 7.16.1 e Fusion Builder 3.16.1 (ou mais novas).
- Revise a lista de usuários e remova acessos que não reconhece.
Seu dev ou hospedagem
- Manter um WAF ativo para bloquear tentativas automáticas.
Detalhes técnicos: Wordfence e Patchstack divulgaram em 29 de agosto quatro novas falhas críticas (CVSS entre 9.8 e 10.0), além de reforçar a vulnerabilidade já conhecida do tema Avada (CVE-2026-18431, coberta nesta curadoria em 28/08). No WPMU DEV Dashboard (CVE-2026-76581), um bypass de autenticação via SSO/HMAC permite a um atacante não autenticado obter acesso de administrador em sites conectados ao WPMU DEV Hub. No TranslatePress (CVE-2026-19632, +400 mil instalações), uma exposição de dados sensíveis permite extrair a URL de redefinição de senha do administrador em texto puro e assumir a conta. No plugin Pods – Custom Content Types and Fields (CVE-2026-19598, +100 mil instalações), uma escalada de privilégios permite que o atacante se torne administrador ou sobrescreva a senha de qualquer usuário. E no GiveWP (CVE-2026-82222, CVSS 10.0), uma injeção de objeto PHP em sites com formulário de doação e gateway de pagamento ativos permite execução remota de código. Todos os fornecedores já lançaram correções; administradores desses quatro plugins devem atualizar imediatamente, pois qualquer uma das falhas pode resultar em comprometimento total do site.
Dados técnicos
CVE-2026-18431 · CVE-2026-76581 · CVE-2026-19632 · CVE-2026-19598 · CVE-2026-82222 · CVSS 9,8 · Fonte: The Hacker News