Uma cadeia de vulnerabilidades críticas batizada de "wp2shell" está a colocar em risco centenas de milhões de sites em todo o mundo. De acordo com um alerta emitido pela Searchlight Cyber, estas falhas descobertas no código base do WordPress permitem que atacantes remotos executem comandos maliciosos sem qualquer tipo de autenticação prévia, comprometendo mesmo as instalações padrão que não utilizam extensões adicionais.
A gravidade da situação levou a equipa oficial do WordPress.org a tomar uma medida de emergência excecional, ativando o sistema de atualizações automáticas forçadas para todos os sites que executem as versões afetadas. A falha resulta da combinação de dois problemas independentes que, quando encadeados, dão aos cibercriminosos o controlo total do servidor onde a plataforma está alojada.
As engrenagens do ataque wp2shell
O perigo do ecossistema WordPress baseia-se na junção de duas falhas distintas. A primeira é a CVE-2026-63030, uma vulnerabilidade de confusão de rotas na API REST introduzida no WordPress 6.9. A segunda é a CVE-2026-60137, que consiste numa injeção de SQL de alta gravidade localizada no parâmetro 'author__not_in' da classe 'WP_Query', presente desde a versão 6.8.
Quando um atacante combina estes dois vetores, consegue contornar as restrições normais do sistema. A cadeia completa de execução remota de código (RCE) afeta diretamente as versões 6.9.0 a 6.9.4, bem como as variantes 7.0.0 e 7.0.1. O problema da injeção de SQL também existe na linhagem 6.8.0 a 6.8.5, mas nestas versões mais antigas não pode ser transformado num ataque de execução remota devido à ausência do bug da API REST. A correção definitiva foi disponibilizada nas novas versões 6.9.5 e 7.0.2.
Exploits públicos e ataques ativos
A urgência em aplicar a correção disparou após a publicação de múltiplos códigos de exploração (proof-of-concept) na plataforma GitHub por investigadores independentes. Algumas destas ferramentas públicas conseguem extrair chaves de cifragem de palavras-passe através da injeção de SQL para que o atacante descubra a credencial do administrador, enquanto outras afirmam conseguir executar comandos no servidor sem necessitar de qualquer conta legítima.
Especialistas da empresa de segurança watchTowr confirmaram que já detetaram os primeiros sinais de exploração ativa na internet. A Cloudflare também reagiu rapidamente ao cenário e implementou regras de proteção na sua Web Application Firewall (WAF) para mitigar as tentativas de ataque em todos os seus planos, incluindo as contas gratuitas protegidas pela empresa.
Como proteger a infraestrutura
Para os administradores de sistemas que não consigam avançar de imediato com a atualização dos seus servidores, existem caminhos alternativos temporários que mitigam o risco. A instalação de uma extensão que bloqueie por completo o acesso anónimo à API REST ou a configuração de regras na firewall para barrar os caminhos /wp-json/batch/v1 e ?rest_route=/batch/v1 ajudam a travar a exploração do wp2shell.
Estas ações mitigadoras servem apenas para reduzir a exposição ao risco enquanto os testes de compatibilidade são realizados. A única forma segura de neutralizar a ameaça passa pela transição imediata para as versões corrigidas da plataforma.
Nenhum comentário
Seja o primeiro!