Segurança & Infra WordPress

A semana foi dominada por falhas em construtores de página e plugins de autenticação, com exploração ativa no radar: o Elementor teve um CSRF que cria administradores com um único clique, o Visual Composer ganhou um exploit público e um plugin de API deixou escapar cookies de sessão de admin. No lado dos ataques, a GreyNoise detalhou a campanha “wp2shell” e a Sucuri analisou um malware que se reconstrói sozinho após a limpeza. Selecionamos as 9 notícias mais relevantes, organizadas por tema. Bora ao que interessa 👇

Falha de CSRF no Elementor permite criar contas de administrador com um único clique (CVE-2026-62062)

As versões 4.3.0 e 4.3.1 do Elementor (mais de 2 milhões de instalações) tinham uma falha de CSRF (CVSS 8,8) no módulo “Editor Events”: qualquer requisição à REST API que contivesse “elementor/v1/events/” na URL escapava da proteção por nonce, mesmo em rotas totalmente diferentes. Bastava um administrador logado clicar em um link malicioso para o atacante criar uma conta de administrador. Já existe prova de conceito e há relatos de exploração ativa horas após a divulgação. A correção está na versão 4.3.2 — atualize e revise a lista de administradores em busca de contas desconhecidas.

Leia mais →  · Fonte: thehackernews.com

Visual Composer Website Builder tem falha crítica de inclusão de arquivos, com exploit público (CVE-2026-12227)

O plugin Visual Composer Website Builder (antigo WPBakery, com uso embutido em vários temas premium) tinha uma falha crítica (CVSS 9,8) no parâmetro vcv-template: um atacante não autenticado podia incluir arquivos arbitrários do servidor e, em muitos casos, executar código PHP. Um exploit de prova de conceito já foi publicado no GitHub, o que aumenta o risco de varreduras em massa. Atualize para a versão 45.16.3 ou superior e confirme com o desenvolvedor do seu tema se a cópia embutida do plugin também foi corrigida.

Leia mais →  · Fonte: radar.offseq.com

JSON API Auth deixa visitantes roubarem o cookie de sessão de um administrador (CVE-2026-97637)

O plugin JSON API Auth (até a versão 3.1.2) tem uma falha de bypass de autenticação com CVSS 9,8. Como o plugin pai JSON API guarda respostas em cache apenas pela URL, a resposta do endpoint generate_auth_cookie, que contém um cookie de login válido, pode ser servida a qualquer visitante que repita a requisição em até 24 horas depois de um administrador usá-lo. Com o cookie, o atacante entra como administrador. Se não houver correção disponível, desative o controller Auth ou remova os dois plugins, encerre as sessões ativas trocando as salts do wp-config.php e revise os usuários.

Leia mais →  · Fonte: thehackerwire.com

WP OAuth Server permite que qualquer assinante se passe por administrador via SSO (CVE-2026-82843)

Todas as versões do WP OAuth Server (Login with WordPress) anteriores à 6.4.0 têm uma falha crítica (CVSS 9,0): o plugin não vincula corretamente a identidade emitida ao processo de troca de autorização, e por isso um usuário com papel de Assinante consegue obter uma identidade assinada em nome de qualquer outro usuário, inclusive administradores. Na prática, uma conta comum no site basta para se autenticar como admin em sistemas externos conectados por esse SSO. Atualize para a 6.4.0 e revise os logs de login das integrações.

Leia mais →  · Fonte: radar.offseq.com

Testimonials Widget permite criar ou sobrescrever qualquer post sem login (CVE-2026-96532)

O plugin Testimonials Widget, até a versão 4.0.4, não verifica permissão nem propriedade ao processar o formulário público de depoimentos. Qualquer visitante pode criar posts ou sobrescrever título, conteúdo e autor de posts existentes (CVSS 7,5), abrindo caminho para desfiguração, spam de SEO e injeção de conteúdo malicioso. Até a divulgação não havia versão corrigida confirmada: desative o plugin ou remova o formulário público e revise os posts modificados recentemente.

Leia mais →  · Fonte: wpscan.com

Resumo de setembro da Sucuri: WPForms, Really Simple Security, WooCommerce e GTranslate exigem atualização

O resumo mensal da Sucuri reúne correções de segurança de setembro em plugins muito usados. Entre as mais graves estão a execução arbitrária de shortcodes sem login no WPForms (CVE-2026-84744, mais de 5 milhões de sites), dois bypasses do 2FA no Really Simple Security (CVE-2026-89080 e CVE-2026-84777, mais de 3 milhões), negação de serviço no WooCommerce (CVE-2026-48888) e execução de shortcodes no GTranslate (CVE-2026-86604). A lista inclui ainda LiteSpeed Cache, Rank Math, Jetpack, UpdraftPlus e outros. Versões mínimas sugeridas: WPForms 2.0.2.1, Really Simple Security 9.8.2, WooCommerce 11.1.0 e GTranslate 5.0.1.

Leia mais →  · Fonte: blog.sucuri.net

Campanha “wp2shell” invade 49 organizações e rouba 18.566 registros de governo

A GreyNoise detalhou uma campanha de um grupo suspeito de fala chinesa que explorou a cadeia “wp2shell” (CVE-2026-63030 e CVE-2026-60137) no núcleo do WordPress para invadir ao menos 49 organizações em 29 países. Depois de instalar um webshell, os atacantes despejaram a tabela de usuários, criaram administradores ocultos (contas “kapibala” e “kapibala2”), buscaram credenciais de banco de dados e avançaram para a rede interna. Confirme que o WordPress está na versão 7.1.2 ou superior, procure por essas contas e por arquivos PHP inesperados em wp-content.

Leia mais →  · Fonte: cybersecuritynews.com

Malware “SC” se reconstrói sozinho após a remoção, com oito pontos de persistência

A Sucuri analisou o malware “SC”, que combina auto_prepend_file no .user.ini, loaders PHP ocultos, os drop-ins db.php e advanced-cache.php, código no functions.php, um mu-plugin e uma cópia como plugin comum, além de guardar o payload na tabela wp_options e na memória compartilhada do servidor. Cada componente restaura os outros, então apagar só o plugin visível causa reinfecção na requisição seguinte. O backdoor busca comandos em contratos inteligentes da Ethereum, desativa plugins de segurança e pode injetar skimmers de pagamento. Antes de limpar, faça cópia forense e neutralize a diretiva auto_prepend_file.

Leia mais →  · Fonte: gbhackers.com

Novas falhas no ModSecurity permitem driblar o WAF usado por muitas hospedagens

Foram divulgadas várias falhas no OWASP ModSecurity, o WAF de código aberto usado por muitas hospedagens (inclusive em cPanel e Plesk) na frente de sites WordPress. A mais grave explora o parâmetro filename* (RFC 2231) em uploads multipart para escapar das regras de nome e extensão; outras afetam transformações como t:base64DecodeExt e removeComments, o processador XML e o tratamento de limites do PCRE2. Não afeta o WordPress em si, mas reduz a proteção de quem conta só com o WAF do servidor. Pergunte ao suporte da hospedagem sobre a atualização e mantenha também um firewall no nível da aplicação.

Leia mais →  · Fonte: cybersecuritynews.com

Semana de revisar administradores, atualizar construtores de página e desconfiar de qualquer limpeza que pareça fácil demais. Bom fim de semana e até a próxima edição.

Gostou desta edição? Encaminhe para alguém que cuida de sites WordPress 💚