7 itens neste dia. Um vale para todos os sites; os outros seis só importam se você usa o software citado.
Resumo em 10 segundos
- PHP — todos os sitesFique de olho
- Download MonitorAtualize esta semana
- GiveWPAtualize esta semana
- WP Stripe CheckoutAtualize esta semana
- Online Payments with iK Pay Gateway — pouco usado no BrasilAtualize esta semana
- Qi Addons For ElementorFique de olho
- User Profile BuilderFique de olho
Não usa Download Monitor, GiveWP, WP Stripe Checkout, Online Payments with iK Pay Gateway, Qi Addons For Elementor nem User Profile Builder? Confira só o item para todos os sites e pronto: seu site não precisa de mais nada desta nota.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Para todos os sites
PHP aponta nova falha ligada ao "upload progress" das sessões, ainda sem correção e de exploração improvável (CVE-2026-115560)
Afeta: servidores PHP com o recurso session.upload_progress ativo
O PHP, linguagem em que o WordPress roda, tem uma nova falha que, em configurações muito específicas, poderia deixar um invasor executar código no servidor. É improvável que afete um site WordPress comum, e a mesma configuração recomendada para o PHP2Shell já protege.
Você mesmo
- Perguntar à hospedagem se o session.upload_progress está desativado (a mesma medida recomendada para o PHP2Shell)
- Se já aplicou essa medida em outubro, não precisa fazer mais nada
- Atualizar o PHP quando sair a próxima versão de manutenção
Seu dev ou hospedagem
- Definir session.upload_progress.enabled=0 no php.ini até a próxima versão de manutenção
- Verificar se algum código troca session.serialize_handler com ini_set() antes de session_start()
- Acompanhar o aviso completo da CVE-2026-115560 em php.net no próximo lançamento
Só se você usa estes plugins
Não está na sua lista? Pode pular.
Download Monitor
plugin de gestão de downloads
Um invasor pode enviar um link que, se for clicado por alguém logado no site (como um administrador), roda um código no navegador dessa pessoa e pode agir em nome dela. Em redes multisite, administradores de um subsite também conseguiam ler arquivos que não deveriam.
Você mesmo
- Atualizar o Download Monitor para a versão 5.3.5 ou superior
- Conferir se os links de download continuam funcionando depois da atualização
- Evitar clicar em links de download inesperados enquanto estiver logado no painel
- Conferir em Usuários se não há administradores desconhecidos
Seu dev ou hospedagem
- Verificar a versão com wp plugin get download-monitor –field=version, inclusive em staging
- Em multisite, revisar os caminhos de download aprovados nas configurações e remover os que estiverem fora de wp-content/uploads
- Procurar nos logs de acesso downloads incomuns de arquivos fora de uploads
GiveWP
doações
Qualquer visitante pode ver formulários de doação que ainda não foram publicados, e usuários com acesso parcial ao GiveWP conseguem mexer em páginas e dados de doadores que não deveriam. A atualização resolve tudo.
Você mesmo
- Atualizar o GiveWP para a versão 4.19.0.1 ou superior
- Revisar em Usuários quem tem papéis do GiveWP (gerente de captação, contador etc.) e remover acessos desnecessários
- Conferir se formulários em rascunho continham informações que não deveriam ser públicas
Seu dev ou hospedagem
- Conferir em wp_usermeta quais usuários têm papéis personalizados do GiveWP (give_manager, give_accountant, give_worker)
- Revisar o histórico de alterações de endereços de doadores e de páginas editadas por esses papéis
- Verificar logs de acesso a rotas públicas de formulários do GiveWP com IDs de formulários não publicados
WP Stripe Checkout
plugin de pagamentos com Stripe
Alguém pode fingir ser o Stripe e fazer a loja registrar como pago um pedido que nunca foi pago. Atualizar o plugin e configurar o segredo do webhook resolve.
Você mesmo
- Atualizar o WP Stripe Checkout para a versão 1.2.2.62 ou superior
- Configurar o segredo de assinatura do webhook (signing secret) nas opções do plugin
- Conferir no painel do Stripe se os pedidos recentes marcados como pagos têm pagamento correspondente
Seu dev ou hospedagem
- Copiar o signing secret do endpoint em Stripe > Developers > Webhooks e gravá-lo no plugin
- Revisar logs de requisições ao endpoint de webhook vindas de IPs que não são do Stripe
- Cruzar pedidos concluídos no WordPress com os eventos payment_intent/checkout.session do Stripe
Online Payments with iK Pay Gateway
gateway de pagamento sul-africano
Alguém pode fingir ser o gateway de pagamento e fazer a loja registrar como pago um pedido que nunca foi pago, ou cancelar pedidos de clientes. Só afeta lojas que recebem pela iKhokha, comum na África do Sul.
Você mesmo
- Atualizar o Online Payments with iK Pay Gateway para a versão 3.0.4 ou superior
- Conferir no painel da iKhokha se os pedidos recentes marcados como pagos têm pagamento correspondente
- Conferir se há pedidos marcados como falhos sem motivo
Seu dev ou hospedagem
- Comparar os pedidos pagos no WooCommerce com as transações do gateway
- Procurar nos logs de acesso requisições ao endpoint de callback vindas de IPs que não sejam da iKhokha
Qi Addons For Elementor
widgets para Elementor
Afeta: sites que dão conta de Colaborador ou superior a pessoas de fora
Uma pessoa com conta de colaborador no site pode colocar numa página um formulário falso que pede a senha de quem visita e envia para outro lugar. Só preocupa sites que têm colaboradores externos.
Você mesmo
- Atualizar o Qi Addons for Elementor assim que a versão 1.11.2 estiver disponível
- Revisar em Usuários quem tem papel de Colaborador ou superior e remover contas desnecessárias
- Conferir posts recentes desses usuários antes de publicar
Seu dev ou hospedagem
- Procurar no banco por posts com tags ou input type="password" dentro de widgets do Qi Addons (wp db query em wp_posts e wp_postmeta _elementor_data)
- Aplicar CSP com form-action 'self' para bloquear envio de formulários a domínios externos
User Profile Builder
plugin de cadastro e perfis
Quem já tem uma conta de autor ou colaborador no site consegue criar contas com mais poderes, como editor, ou gravar um código que roda no navegador de quem abre a página. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o User Profile Builder para a versão 4.0.5 ou superior
- Conferir em Usuários se há editores ou administradores que você não criou
- Revisar quem tem papéis de Colaborador, Autor ou superior e remover acessos desnecessários
- Perguntar à Cozmoslabs se o Profile Builder Pro e os add-ons pagos também precisam de atualização
Seu dev ou hospedagem
- Verificar a versão com wp plugin get profile-builder –field=version (em multisite, atualizar pelo Network Admin)
- Despublicar formulários de cadastro que atribuam papéis acima de Assinante e que você não criou
- Listar contas recentes com wp user list –role=editor e wp user list –role=administrator
- Em caso de mudanças inexplicadas, redefinir senhas, encerrar sessões e trocar os salts