O que conferir no seu site em 2 de outubro

5 itens neste dia. Todos só importam se você usa o software citado.

Resumo em 10 segundos

Não usa All-in-One WP Migration, GTranslate, LiteSpeed Cache, Really Simple Security, WooCommerce, WPForms, CMB2, Newsletter, SiteOrigin Widgets Bundle nem JSON API Auth? Nada desta nota se aplica ao seu site.

Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.

Só se você usa estes plugins

Não está na sua lista? Pode pular.

Atualize esta semana

All-in-One WP Migration, GTranslate, LiteSpeed Cache, Really Simple Security, WooCommerce, WPForms

WPForms: 2.0.2.1 ou superiorReally Simple Security: 9.8.2 ou superiorWooCommerce: 11.1.0 ou superiorAll-in-One WP Migration: 7.111 ou superiorGTranslate: 5.0.1 ou superiorLiteSpeed Cache: 7.9.1 ou superior

Resumo mensal com falhas sem login em plugins muito usados. Se você usa algum deles, atualize para a versão indicada.

Você mesmo

  • Atualize para pelo menos: WPForms 2.0.2.1, Really Simple Security 9.8.2, WooCommerce 11.1.0, All-in-One WP Migration 7.111, GTranslate 5.0.1 e LiteSpeed Cache 7.9.1.
  • Quem usa o 2FA do Really Simple Security deve revisar os logins recentes de administradores.

Seu dev ou hospedagem

  • Conferir as demais entradas do resumo (Rank Math, Jetpack, UpdraftPlus, W3 Total Cache, EWWW, AIOS) contra a lista de plugins.
  • Rodar varredura com Wordfence, Sucuri ou Patchstack.
CVE-2026-84744 · CVE-2026-89080 · CVE-2026-84777 · CVE-2026-48888 · CVE-2026-89064 · CVE-2026-86604 · Fonte: SucuriRegistro completo →
Atualize esta semana

CMB2

biblioteca de campos personalizados

Vulnerável: até a 2.13.0Seguro: versões acima da 2.13.0

Falha que só pode ser explorada quando um tema ou plugin expõe um campo de lista de arquivos em formulário público.

Você mesmo

  • Atualize o CMB2 para a versão mais recente (acima da 2.13.0).
  • Se ele vem dentro de um tema ou plugin, pergunte ao desenvolvedor se já foi atualizado.

Seu dev ou hospedagem

  • Revisar formulários de front-end que usam campos file_list.
CVE-2026-97336 · CVSS 7,2 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →
Atualize esta semana

Newsletter

envio de newsletters

Vulnerável: até a 9.4.0Seguro: versões acima da 9.4.0

Um visitante sem login consegue gravar um código pelo formulário de inscrição que roda quando alguém, inclusive um administrador, abre a página.

Você mesmo

  • Atualize o plugin Newsletter para a versão mais recente (acima da 9.4.0).
  • Ative CAPTCHA ou antispam no formulário de inscrição.

Seu dev ou hospedagem

  • Revisar assinantes e campos de perfil com HTML ou JavaScript.
  • Manter o WAF atualizado.
CVE-2026-96566 · CVSS 7,2 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →
Atualize esta semana

SiteOrigin Widgets Bundle

widgets do Page Builder SiteOrigin

Vulnerável: até a 1.73.2Seguro: versões acima da 1.73.2

Um usuário com conta de colaborador consegue executar arquivos PHP do servidor.

Você mesmo

  • Atualize o SiteOrigin Widgets Bundle para a versão mais recente (acima da 1.73.2).
  • Revise contas de colaborador e remova as que não reconhecer.

Seu dev ou hospedagem

  • Em sites com cadastro aberto, confirmar que o papel padrão é Assinante.
  • Procurar .php estranhos em wp-content/uploads.
CVE-2026-92174 · CVSS 7,5 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →
Fique de olho

JSON API Auth

autenticação para a JSON API

Vulnerável: 3.1.2 e anteriores (sem correção)Ainda sem correção

Um visitante sem login pode reaproveitar o login de um administrador guardado em cache e entrar no site como ele.

Você mesmo

  • Se usa o JSON API Auth, desative-o (ou o controller Auth) até sair versão posterior à 3.1.2.
  • Troque as senhas dos administradores.

Seu dev ou hospedagem

  • Encerrar todas as sessões trocando os salts do wp-config.php.
  • Revisar a lista de usuários em busca de contas criadas sem autorização.
CVE-2026-97637 · CVSS 9,8 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →