- O que torna o wp2shell tão perigoso?
- CVE-2026-60137: injeção de SQL
- CVE-2026-63030: confusão de rotas na REST API
- Quais versões corrigem as vulnerabilidades?
- Exploits públicos mudaram o nível de urgência
- Cloudflare adicionou proteção ao WAF
- O que administradores devem fazer agora
- E se não for possível atualizar imediatamente?
- Não é “mais uma falha de plugin”
Vulnerabilidades no núcleo do CMS podem ser combinadas para executar código remotamente sem autenticação. Administradores devem atualizar seus sites imediatamente.
Administradores de sites WordPress precisam abandonar qualquer ideia de “atualizar depois”. Exploits públicos começaram a circular para duas vulnerabilidades graves no núcleo da plataforma, conhecidas em conjunto como wp2shell.
As falhas, registradas como CVE-2026-60137 e CVE-2026-63030, podem ser encadeadas para alcançar execução remota de código antes da autenticação.
Em termos diretos: um invasor pode atacar uma instalação padrão do WordPress sem precisar possuir conta, senha ou explorar um plugin vulnerável.
O que torna o wp2shell tão perigoso?
O ataque não depende de uma única brecha. Ele combina duas vulnerabilidades independentes presentes no WordPress Core.
CVE-2026-60137: injeção de SQL
A primeira falha está relacionada ao parâmetro author__not_in da classe WP_Query.
Em determinadas condições, entradas manipuladas podem interferir na consulta enviada ao banco de dados, abrindo espaço para uma injeção de SQL.
A vulnerabilidade afeta versões do WordPress a partir da linha 6.8 e foi classificada como um problema de alta gravidade.
CVE-2026-63030: confusão de rotas na REST API
A segunda falha envolve o processamento de rotas em lote da REST API, funcionalidade introduzida no WordPress 6.9.
Quando essa vulnerabilidade é combinada com a falha de SQL injection, o ataque pode evoluir para execução remota de código, permitindo que comandos sejam executados no servidor comprometido.
A cadeia completa afeta o WordPress 6.9.0 até o 6.9.4 e o WordPress 7.0.0 até o 7.0.1.
O WordPress 6.8 também possui a vulnerabilidade de SQL injection, mas não contém o componente adicional necessário para formar a cadeia completa de execução remota.
Quais versões corrigem as vulnerabilidades?
- WordPress 7.0.x: atualizar para o WordPress 7.0.2.
- WordPress 6.9.x: atualizar para o WordPress 6.9.5.
- WordPress 6.8.x: atualizar para o WordPress 6.8.6.
- Versões anteriores à 6.8: não são afetadas por essas duas vulnerabilidades específicas.
Devido à gravidade do problema, a equipe do WordPress ativou atualizações automáticas forçadas para instalações afetadas que oferecem suporte ao mecanismo de atualização em segundo plano.
Uma proteção automática pode reduzir o número de instalações expostas, mas nenhum administrador deve presumir que seu site já foi atualizado. A versão instalada precisa ser conferida manualmente.
Exploits públicos mudaram o nível de urgência
A descoberta foi atribuída ao pesquisador Adam Kues, da Searchlight Cyber.
Inicialmente, os detalhes técnicos foram retidos para oferecer uma janela de correção aos administradores. Essa janela, porém, começou a fechar.
Diferentes provas de conceito passaram a circular publicamente no GitHub.
Alguns desses códigos demonstram o uso das vulnerabilidades para extrair hashes de senhas do WordPress, tentar descobrir a senha de uma conta administrativa, acessar o painel e instalar um plugin malicioso.
Outros exploits afirmam executar a cadeia completa sem depender de credenciais administrativas, alinhando-se à descrição de uma vulnerabilidade de execução remota de código antes da autenticação.
A empresa de segurança watchTowr também informou ter identificado os primeiros sinais de tentativas de exploração em ambientes reais após a publicação dos códigos públicos.
Mesmo que a extensão dessas campanhas ainda esteja sendo analisada, a existência de exploits acessíveis reduz drasticamente o esforço necessário para que criminosos automatizem ataques em massa.
Cloudflare adicionou proteção ao WAF
A Cloudflare informou ter implantado regras de Web Application Firewall para bloquear tentativas de exploração das duas vulnerabilidades.
As proteções foram disponibilizadas em todos os planos, incluindo contas gratuitas, desde que o tráfego do site esteja corretamente proxyado pela plataforma.
Essa camada é importante durante a resposta emergencial, mas ela não elimina a vulnerabilidade instalada no servidor.
WAF não substitui atualização.
Mudanças nas técnicas de exploração, configurações incorretas ou tráfego capaz de contornar o proxy podem deixar o site exposto. A correção definitiva continua sendo atualizar o WordPress Core.
O que administradores devem fazer agora
- Confirme a versão instalada no painel administrativo ou utilizando WP-CLI.
- Faça um backup completo dos arquivos e do banco de dados antes da intervenção.
- Atualize o WordPress Core imediatamente para a versão corrigida da linha utilizada.
- Verifique se a atualização foi realmente concluída e se não existem updates pendentes.
- Revise os logs de acesso, PHP, servidor web, WAF e auditoria em busca de requisições suspeitas.
- Procure usuários administrativos desconhecidos, plugins inesperados, arquivos PHP recentes e tarefas agendadas não reconhecidas.
- Atualize plugins e temas, mesmo que eles não sejam a origem específica dessas vulnerabilidades.
- Confirme que o tráfego está passando pelo proxy da Cloudflare, quando essa proteção fizer parte da arquitetura do site.
Em servidores com WP-CLI, a versão instalada pode ser conferida com:
wp core versionA atualização pode ser iniciada com:
wp core updateDepois da atualização, confirme novamente a versão e valide o funcionamento do site, do painel administrativo, dos plugins críticos e das rotinas de cache.
E se não for possível atualizar imediatamente?
Como mitigação temporária, a Searchlight Cyber recomenda bloquear o acesso anônimo à REST API ou impedir requisições direcionadas às rotas de processamento em lote:
/wp-json/batch/v1
?rest_route=/batch/v1O bloqueio pode ser aplicado em um WAF ou diretamente na configuração do servidor web.
Entretanto, essa medida pode afetar plugins, integrações e funcionalidades legítimas que dependem da REST API.
Ela não deve ser aplicada cegamente e não pode ser tratada como solução permanente. A ação correta continua sendo instalar a versão corrigida.
Não é “mais uma falha de plugin”
O WordPress frequentemente aparece em alertas de segurança porque seu enorme ecossistema possui milhares de plugins e temas desenvolvidos por terceiros.
O caso wp2shell é diferente: as vulnerabilidades estão no próprio núcleo da plataforma e podem afetar instalações padrão, sem plugins adicionais.
Isso aumenta tanto o alcance potencial quanto o interesse de grupos criminosos.
Uma única cadeia reutilizável pode ser testada automaticamente contra grandes listas de domínios, transformando sites desatualizados em alvos de roubo de dados, distribuição de malware, spam, phishing, desfiguração de páginas e comprometimento completo da infraestrutura.
Com exploits públicos disponíveis e os primeiros indícios de exploração real, manter uma versão vulnerável deixou de ser apenas uma dívida técnica.
É uma exposição ativa.
Abra o painel, confirme a versão e atualize agora.
