Falha crítica no 10Web Booster permite enviar arquivos executáveis sem login por meio de nonce vazado (CVE-2026-108587) Fique de olho
Um invasor sem login consegue enviar arquivos executáveis e tomar o site. Até a publicação não havia correção.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Edson Vieira Demetrio
Desenvolvedor Web desde de 2006, especialista em WordPress, com foco em desenvolvimento de temas e plugins para WordPress, atuando com as seguintes tecnologias: WordPress, PHP, JavaScript, HTML,CSS, Vue JS, React, Python, Power BI, Adonis JS, AngularJS. Integrações com APIs: Fiducia, SimplesVet, Omie API, Ifood API, Bem Prático, Vertis, LeadLovers API. Graduado em Sistema para Internet pela ULBRA e atualmente cursando MBA em Business Intelligence, Modelagem de Dados/Armazenagem e Administração de Base de Dados. Trabalha como colaborador nos projetos Tainacan e Iandé e demais projetos para diversas empresas.
Falha no WPCode permite que visitantes sem login desativem os snippets inseridos automaticamente no site (CVE-2026-101301) Atualize esta semana
Um visitante sem login consegue desligar, nas próprias visitas, os snippets automáticos do WPCode, contornando bloqueios ou proteções colocados por ali.
Falha no Fusion Builder do Avada permite que visitantes sem conta acionem ações internas e apaguem conteúdo da lixeira (CVE-2026-97670) Atualize esta semana
Um visitante sem conta consegue, por formulários públicos do Avada, apagar de vez posts, páginas e comentários que estavam na lixeira.
Falha no SpeedyCache expõe nome e e-mail de comentaristas por envenenamento de cache (CVE-2026-104006) Fique de olho
O cache pode mostrar a qualquer visitante o nome e o e-mail de quem comentou no site. O risco é baixo, mas é dado pessoal.
Falha crítica no WPCOM Member permite login sem senha em qualquer conta via callback de login social (CVE-2026-104803) Atualize esta semana
Um visitante sem login consegue entrar no site como qualquer usuário, inclusive administrador, sem senha.
Let’s Encrypt reduzirá a validade dos certificados TLS de 90 para 64 dias a partir de fevereiro de 2027 Relevância: Média
Resumo: O Let’s Encrypt confirmou que, a partir de 10 de fevereiro de 2027, os certificados emitidos ou renovados terão validade padrão de 64 dias, e não mais 90; o ambiente de staging passa a emitir certificados de 64 dias…
Falha crítica de upload de arquivos no Bricksforge é explorada ativamente e permite executar código sem login (CVE-2026-85097) Atue hoje
Invasores já estão usando esta falha para enviar arquivos com código e assumir sites, sem precisar de login.
WP Post Author corrige nova falha de SQL injection na versão 4.0.1 (CVE-2026-42708) Atualize esta semana
Falha no acesso ao banco de dados que depende de usuário logado. É a terceira desse tipo no plugin em 2026.
Plugin de galerias Modula corrige falha de exposição de dados sensíveis na versão 3.0.12 (CVE-2026-105876) Atualize esta semana
Terceiros podem acessar informações que deveriam estar protegidas. O impacto é baixo.
Element Pack Elementor Addons corrige falha de XSS na versão 8.8.7 (CVE-2026-105871) Atualize esta semana
Falha que permite injetar scripts na página. A prioridade é baixa, mas esse tipo de falha tem sido usado para criar administradores ocultos.
Happy Addons for Elementor corrige falha de XSS na versão 3.50.1 (CVE-2026-104393) Atualize esta semana
Falha que permite injetar scripts que rodam no navegador de visitantes ou administradores. A prioridade é baixa.
Grupo CyberXero usa agentes de IA para explorar sites WordPress e lojas virtuais em massa Relevância: Média
Resumo: A SOCRadar revelou o CyberXero, um corretor de acesso inicial de língua russa que combina ferramentas comuns de ataque com um sistema de orquestração de IA (51 agentes) para automatizar ataques contra sites WordPress e e-commerce no mundo todo,…