O que conferir no seu site em 20 de setembro

4 itens neste dia. Todos só importam se você usa o software citado.

Resumo em 10 segundos

Não usa Import and export users and customers, SAML Single Sign On – SSO Login (miniOrange), The Events Calendar nem Unlimited Elements For Elementor? Nada desta nota se aplica ao seu site.

Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.

Só se você usa estes plugins

Não está na sua lista? Pode pular.

Atualize esta semana

Import and export users and customers

importação de usuários por CSV

Vulnerável: até a 2.5.1Seguro: 2.5.2 ou superior

Quem tem permissão de importar usuários (por exemplo, um editor) consegue criar administradores com um CSV manipulado.

Você mesmo

  • Atualize o plugin para a 2.5.2 ou superior.
  • Audite a lista de administradores em busca de contas recentes desconhecidas.

Seu dev ou hospedagem

  • Restringir a permissão de importação de CSV a administradores de confiança.
CVE-2026-92540 · CVE-2026-92541 · Fonte: TheHackerWireRegistro completo →
Atualize esta semana

SAML Single Sign On – SSO Login (miniOrange)

login único (SSO)

Afeta: sites que usam login único (SAML) com este plugin.

Vulnerável: antes da 6.0.0Seguro: 6.0.0 ou superior

Quem controla ou influencia o provedor de login único pode entrar no site como qualquer usuário, inclusive administrador, sem senha.

Você mesmo

  • Atualize o SAML Single Sign On para a 6.0.0 ou superior.
  • Acompanhe os logins recentes de administradores via SSO.

Seu dev ou hospedagem

  • Revisar a configuração do provedor de identidade e o atributo de vínculo de conta.
CVE-2026-82842 · Fonte: WPScanRegistro completo →
Atualize esta semana

The Events Calendar

eventos

Vulnerável: antes da 6.17.4.1Seguro: 6.17.4.1 ou superior

Duas falhas permitem que um visitante sem login tome o site por meio de comentários em páginas de eventos.

Você mesmo

  • Atualize o The Events Calendar para a 6.17.4.1 ou superior.
  • Até lá, desative os comentários nas páginas de eventos.

Seu dev ou hospedagem

  • Revisar administradores desconhecidos e plugins não reconhecidos em wp-content/plugins.
CVE-2026-78006 · CVE-2026-78159 · CVSS 9,8 · Fonte: WordfenceRegistro completo →
Atualize esta semana

Unlimited Elements For Elementor

widgets para Elementor

Vulnerável: antes da 2.0.20Seguro: 2.0.20 ou superior

Um usuário com conta simples (assinante) pode explorar a falha para, combinada com outros plugins, executar código.

Você mesmo

  • Atualize o Unlimited Elements For Elementor para a 2.0.20 ou superior.
  • Se o site tem cadastro público, avalie desativá-lo até confirmar a atualização.

Seu dev ou hospedagem

  • Avaliar outros plugins com classes PHP exploráveis em conjunto com desserialização.
CVE-2026-85017 · Fonte: TheHackerWireRegistro completo →