Uma vulnerabilidade crítica no plugin premium WooCommerce Wholesale Lead Capture para WordPress está a ser ativamente explorada por piratas informáticos. Segundo avançou a Wordfence, foram bloqueadas mais de 100 mil tentativas de ataque contra esta falha, que permite a injeção de ficheiros maliciosos e o potencial controlo total das plataformas afetadas.
Detalhes técnicos da vulnerabilidade
O problema, registado como CVE-2026-27540 e descoberto pelo investigador de segurança Teemu Saarentaus, afeta as versões 2.0.3.1 e anteriores do plugin. Trata-se de uma falha que permite o carregamento arbitrário de ficheiros sem necessidade de autenticação.
Tecnicamente, a vulnerabilidade tem origem na exposição de uma ação AJAX não autenticada chamada "wwlc_file_upload_handler". Esta ação verifica as extensões dos ficheiros através de uma lista de permissões definida pelo utilizador através do parâmetro "file_settings". Este processo desprotegido permite que os ataques adicionem a extensão "php" aos tipos de ficheiro permitidos, forçando o plugin a aceitar elementos executáveis.
Segundo a Defiant, empresa responsável pela firewall da Wordfence, os piratas utilizam este método para instalar uma webshell, frequentemente denominada "shell.php". Esta ferramenta não só recolhe informações sobre o servidor, como fornece um formulário acessível a partir do navegador para introduzir novos elementos maliciosos na infraestrutura.
Medidas de segurança e prevenção
A vulnerabilidade foi corrigida na versão 2.0.3.2 do WooCommerce Wholesale Lead Capture, disponibilizada no dia 20 de fevereiro. Apesar da correção, a atividade maliciosa tem sido intensa e prolongada. Os registos dos especialistas indicam picos de exploração entre 4 e 17 de junho, e novamente a 1 de julho e 30 de agosto.
Para proteger os sistemas, a equipa de investigação alerta para a necessidade de os administradores bloquearem os endereços IP associados às tentativas de invasão mais frequentes. A atualização imediata para a versão 2.0.3.2 ou superior do plugin é obrigatória para travar o compromisso do servidor.
Adicionalmente, os responsáveis pela manutenção dos sites devem verificar as pastas de carregamento à procura de ficheiros PHP suspeitos ou criados recentemente. É também aconselhada a análise rigorosa dos registos do sistema em busca de pedidos ao ficheiro "/wp-admin/admin-ajax.php" que invoquem a ação visada pela vulnerabilidade. Caso se confirme uma intrusão, a recomendação é restaurar o site a partir de uma cópia de segurança íntegra e segura, uma vez que a remoção manual de todas as ferramentas de persistência, backdoors e contas de administrador falsas pode revelar-se um processo complexo.
Nenhum comentário
Seja o primeiro!