Um bug de WordPress normalmente faz-nos perguntar primeiro: "qual plugin?". Desta vez a pergunta certa é outra: "que versão do Core está mesmo a correr?". A 17 de julho de 2026, o WordPress publicou a versão 7.0.2 para corrigir uma falha crítica e outra de severidade alta; em paralelo, saíram backports para 6.9.5 e 6.8.6.
A cadeia recebeu o nome WP2Shell. Segundo a Searchlight Cyber, pode atingir uma instalação standard de WordPress, sem plugins e sem conta autenticada, quando versões vulneráveis ficam expostas. O ponto central não é dramatizar: é reduzir a janela entre divulgação, prova de conceito pública e exploração real.
Argumentos a favor de agir já
O primeiro motivo é simples: não é um problema de tema obscuro nem de plugin abandonado. As referências oficiais ligam duas falhas: CVE-2026-60137, uma injeção SQL em WP_Query, e CVE-2026-63030, uma confusão de rota no endpoint batch da REST API. Em versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1, a combinação pode chegar a execução remota de código antes da autenticação.
O segundo motivo é a velocidade. A BleepingComputer e a SecurityWeek relataram provas de conceito públicas e sinais de exploração poucos dias após a divulgação. Quando um CMS alimenta centenas de milhões de sites, a escala transforma um patch normal numa corrida operacional.
O terceiro motivo é a falsa sensação de segurança. O WordPress ativou updates automáticos forçados para instalações suportadas, mas "automático" não significa "confirmado em todos os ambientes". Hosts com permissões de ficheiro restritas, caches estranhas, staging esquecido ou manutenção suspensa podem ficar para trás.
Riscos de responder mal
O erro oposto é entrar em modo pânico. Bloquear toda a REST API sem testar pode partir formulários, integrações editoriais, lojas e dashboards. A própria Searchlight Cyber descreve o bloqueio de /wp-json/batch/v1 ou ?rest_route=/batch/v1 como mitigação temporária quando não é possível atualizar de imediato.
Outro risco é confundir ramos. O WordPress explica que 6.9 é afetado pelas duas vulnerabilidades e deve passar para 6.9.5; 7.0 deve passar para 7.0.2; 6.8 recebe 6.8.6 para a componente de SQL injection; versões anteriores a 6.8 não são afetadas por estas referências. Uma lista de sites sem versão real não chega para decidir prioridade.
Veredicto para sites de comunidade
Se geres um site de clan, guild, comunidade ou pequeno projeto, o plano prático cabe numa página: confirma a versão no painel e no servidor, atualiza para 7.0.2 ou 6.9.5 conforme o ramo, valida backups antes de mexer, revê logs do endpoint batch e mantém WAF ativo enquanto verificas tudo.
Para equipas que alojam websites de comunidade, a lição é mais ampla: inventário ganha a vulnerabilidade. Saber que domínios usam WordPress, quem recebe alertas, onde estão backups e que hosting tem PHP/MySQL/SSL funcional evita que uma notícia global se transforme numa noite de emergência. Na Battlehorns, esse tipo de disciplina é tão importante como a página bonita de recrutamento ou o calendário de raids.
Fontes consultadas: WordPress.org, Searchlight Cyber, BleepingComputer, SecurityWeek e Cloudflare Blog.
Comentários (0)
Sem comentários ainda.