3 itens neste dia. Todos valem para todos os sites.
Resumo em 10 segundos
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Para todos os sites
Hackers exploram falhas “wp2shell” do WordPress para invadir 49 organizações e roubar 18.566 registros de governo <span class="bcn-relev-wrap"><span class="wpbr-selos-card"><span class="wpbr-selo wpbr-selo--alta"><span class="wpbr-selo__ponto" aria-hidden="true"></span>Atue hoje</span><span class="wpbr-etiqueta wpbr-etiqueta--todos">Todos os sites</span></span></span>
Afeta: sites com WordPress desatualizado.
Criminosos usaram falhas antigas do WordPress em sites desatualizados para invadir organizações e roubar dados. Sites atualizados estão protegidos.
Você mesmo
- Confirme que o WordPress está na versão mais recente (7.1.2 ou superior).
- Revise a lista de administradores e remova contas desconhecidas (como "kapibala").
Seu dev ou hospedagem
- Procurar PHP inesperado em wp-content (uploads, plugins, mu-plugins) e rodar varredura.
- Trocar senhas de administradores e do banco e gerar novos salts.
- Bloquear os indicadores publicados (74.48.66.73, 104.225.153.141, 172.245.247.21, *.981666.xyz).
Falha “Comment2Shell” no WordPress pode transformar XSS em comentário anônimo em RCE via sessão de administrador. <span class="bcn-relev-wrap"><span class="wpbr-selos-card"><span class="wpbr-selo wpbr-selo--media"><span class="wpbr-selo__ponto" aria-hidden="true"></span>Atualize esta semana</span><span class="wpbr-etiqueta wpbr-etiqueta--todos">Todos os sites</span></span></span>
Afeta: sites com temas de bloco e alguns temas clássicos.
Um comentário anônimo pode esconder um código que, aberto por um administrador logado, instala um plugin malicioso. Corrigido no WordPress 7.1.1.
Você mesmo
- Garanta que o WordPress esteja na 7.1.1 ou superior (de preferência na mais recente).
- Se não puder atualizar agora, desative os comentários.
Seu dev ou hospedagem
- Revisar comentários recentes com HTML estranho e plugins não instalados por você (wp plugin list).
- Evitar navegar no site logado como administrador no dia a dia.
WordPress lança correção para falha crítica que pode permitir a execução de código em alguns servidores <span class="bcn-relev-wrap"><span class="wpbr-selos-card"><span class="wpbr-selo wpbr-selo--media"><span class="wpbr-selo__ponto" aria-hidden="true"></span>Atualize esta semana</span><span class="wpbr-etiqueta wpbr-etiqueta--todos">Todos os sites</span></span></span>
Uma falha no WordPress pode, em alguns servidores, permitir que qualquer visitante execute código. A versão 7.1.2 corrige, com correções também para versões antigas.
Você mesmo
- Atualize o WordPress para a versão corrigida do seu ramo (7.1.2, 7.0.6, 6.9.9…) em Painel › Atualizações.
Seu dev ou hospedagem
- Verificar se o tema ativo tem pasta na raiz começando com "page-".
- Definir register_argc_argv = Off no php.ini, se possível.
- Manter o WAF ativo.