Cinco falhas críticas em plugins e temas WordPress permitem takeover de sites ou RCE Atualize esta semana
Quatro falhas críticas em plugins populares, além do tema Avada, podem dar a um invasor controle total do site. Todas já têm correção.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Redação Fidei
Esse conteúdo é fruto da curadoria diária realizada pela equipe da Fidei Tecnologia. Mantemo-nos sempre atualizados para apoiar nossos clientes, e este blog é o elo de comunicação com vocês.
Alerta de segurança do WP Rocket expõe e-mails, chaves de licença e chaves de API de Cloudflare/Sucuri Relevância: Alta
A equipe do WP Rocket (plugin de cache muito popular) enviou um aviso a clientes informando que uma vulnerabilidade descoberta na noite de 26-27 de agosto pode ter exposto o e-mail da conta, a chave de licença do WP Rocket…
Cadeia crítica de falhas no tema Avada permite RCE sem autenticação (CVE-2026-18431) Atualize esta semana
Uma cadeia de falhas no tema Avada permite que um invasor sem login execute código e tome o site.
Atacantes exploram falhas no miniOrange SAML que podem conceder acesso de administrador ao WordPress Atue hoje
Invasores estão usando duas falhas neste plugin de login único para entrar em sites como qualquer usuário, inclusive administrador.
Vulnerabilidade crítica SSRF no plugin Mailgun for WordPress (CVE-2026-78003)
O plugin Mailgun for WordPress (até a versão 2.2.0) possui uma falha de Server-Side Request Forgery via path traversal na função add_list(), que não valida corretamente os dados enviados em $_POST[‘addresses’]. Um atacante não autenticado pode usar essa falha para…
Falha crítica no Elementor Pro permite upload de PHP e RCE sem autenticação (CVE-2026-32475)
O módulo de Formulários do Elementor Pro (até a versão 4.2.1) tem uma falha no campo de upload de arquivos: dois laços separados tratam a checagem de extensão e o envio do arquivo de forma inconsistente, permitindo que um atacante…
Campanha “StopAndProtect” usa quase 2.000 sites WordPress hackeados como infraestrutura de malware
Pesquisadores da Check Point identificaram uma operação de cibercrime batizada de StopAndProtect que compromete sites WordPress desatualizados (muitos ainda rodando versões de 2021, com dezenas de vulnerabilidades conhecidas) para hospedar malware, servidores de comando e controle e armazenar dados roubados…
The Hacker News / Check Point Research — StopAndProtect: Quase 2.000 Sites WordPress Hackeados Usados como C2 para Espalhar Malware
A operação StopAndProtect, descoberta pelo Check Point Research, comprometeu quase 2.000 sites WordPress para usá-los como infraestrutura C2 rotativa, distribuindo payloads de ransomware e realizando roubo furtivo de dados. A cadeia de infecção começa com engenharia social via ClickFix, resultando…
SecurityWeek / Security Online — WordPress 7.0.4 Corrige RCE Crítico via Imagick/Ghostscript (CVE-2026-65640)
O WordPress 7.0.4, lançado em 12 de agosto, corrige o CVE-2026-65640 (CVSS 8.8), uma vulnerabilidade de execução remota de código que pode ser explorada por usuários com permissão de upload de mídia (nível Author ou superior) através de uploads de…
The Hacker News / Wordfence — Ataque de Supply Chain BdThemes Compromete 7 Plugins via Feed JSON Envenenado
Atacantes envenenaram o feed JSON de API promocional da BdThemes, afetando 7 plugins populares para Elementor (incluindo Element Pack, Prime Slider e Pixel Gallery) e explorando XSS para criar administradores desonestos e instalar webshells PHP sem necessidade de atualizar os…
Patchstack / WordPress.org — WordPress 7.0.3 lançado com correção de 12 vulnerabilidades
O WordPress 7.0.3 foi lançado em 6 de agosto de 2026 como atualização exclusiva de segurança, corrigindo 12 vulnerabilidades no core, incluindo XSS refletido pré-autenticado (CVE-2026-64638, CVSS 8.9) na tela de login que pode escalar para execução de código PHP…
Patchstack / SecurityWeek — Plugin Forminator (600k instalações) com RCE Não Autenticado (CVE-2026-15748, CVSS 9.8)
Uma falha crítica no plugin Forminator Forms (CVE-2026-15748, CVSS 9.8) permite que atacantes não autenticados façam upload de arquivos PHP maliciosos, levando ao comprometimento total do site. Mais de 600.000 sites usam o plugin e, de acordo com dados do…