Falha em plugin de backup do WordPress pode permitir tomada completa de sites

Uma vulnerabilidade de alta gravidade descoberta no All-in-One WP Migration and Backup, um dos plugins de backup e migração mais populares do WordPress, pode permitir que invasores não autenticados comprometam completamente sites vulneráveis.

Registrada como CVE-2026-19949, a falha afeta versões do plugin até a 7.109. A correção foi disponibilizada pela desenvolvedora ServMask na versão 7.110, lançada em 20 de agosto.

O problema chama atenção principalmente pela enorme base instalada do plugin: segundo as estatísticas públicas do WordPress.org, são mais de 5 milhões de instalações ativas.

Como funciona o ataque

A vulnerabilidade é classificada como uma forma de injeção SQL de segunda ordem. Diferentemente de ataques SQL tradicionais, nos quais a entrada maliciosa é executada imediatamente, neste caso o conteúdo preparado pelo invasor pode permanecer armazenado no site até que uma determinada operação seja realizada posteriormente.

Segundo pesquisadores da Wordfence, o problema está relacionado à maneira como o plugin interpreta barras invertidas e aspas escapadas durante o processamento e a reescrita do banco de dados em operações envolvendo arquivos de backup.

Um invasor sem autenticação poderia, por exemplo, introduzir conteúdo especialmente preparado através do sistema de trackbacks do WordPress.

O código permaneceria aparentemente inativo até que um administrador realizasse determinadas operações de exportação, importação ou restauração utilizando o All-in-One WP Migration.

É justamente nesse momento que o conteúdo armazenado poderia ser interpretado de maneira incorreta e transformado em uma consulta SQL válida.

Chave secreta do plugin pode ser exposta

O cenário descrito pelos pesquisadores permite que o atacante tente obter o valor da chave interna utilizada pelo sistema de importação do plugin, conhecida como ai1wm_secret_key.

Com acesso a essa chave, um criminoso poderia potencialmente utilizar os mecanismos de importação do próprio All-in-One WP Migration para introduzir um arquivo .wpress malicioso no servidor.

Como arquivos de migração podem conter praticamente toda a estrutura de um site WordPress — incluindo banco de dados, plugins, temas, mídia e outros componentes — uma exploração bem-sucedida pode evoluir para execução de código no servidor e controle completo da instalação.

A exploração depende de uma ação do administrador

Existe uma característica importante que reduz parcialmente a possibilidade de exploração imediata: o conteúdo malicioso não é necessariamente executado no momento em que é introduzido no site.

O gatilho ocorre posteriormente, durante determinadas operações administrativas realizadas pelo plugin.

Apesar dessa condição, o risco não pode ser ignorado. Backup, restauração e migração são justamente as principais funções do All-in-One WP Migration, portanto não é incomum que administradores executem essas operações durante manutenção, troca de servidor, clonagem de ambiente ou recuperação de um site.

Isso cria uma situação particularmente perigosa: o conteúdo malicioso pode permanecer armazenado durante algum tempo antes de finalmente ser processado.

Milhões de instalações ainda podem estar vulneráveis

O All-in-One WP Migration possui mais de 5 milhões de instalações ativas, colocando a vulnerabilidade entre os problemas de segurança de maior alcance potencial dentro do ecossistema WordPress.

Dados apresentados após a disponibilização da correção indicavam que apenas cerca de 35% da base de usuários já havia migrado para a versão atualizada.

Isso significava que aproximadamente 3,25 milhões de sites ainda poderiam estar executando uma versão vulnerável naquele momento.

Plugin desativado reduz o risco, mas não resolve o problema

Uma instalação vulnerável do plugin que esteja completamente desativada apresenta uma superfície de ataque significativamente menor.

Entretanto, manter versões vulneráveis instaladas não é uma boa prática de segurança. Caso o plugin seja reativado posteriormente para realizar uma restauração ou migração, o ambiente poderá voltar a ficar exposto.

Plugins que não são mais utilizados devem ser removidos. Aqueles que continuam necessários precisam permanecer atualizados.

Falha foi corrigida no All-in-One WP Migration 7.110

A vulnerabilidade foi descoberta pelo pesquisador de segurança Jack Taylor e comunicada através da Wordfence em meados de agosto.

Após a validação técnica, a Wordfence notificou a ServMask em 15 de agosto de 2026.

A desenvolvedora corrigiu o problema cinco dias depois, com o lançamento da versão 7.110 em 20 de agosto de 2026.

Administradores que utilizam o plugin devem verificar imediatamente a versão instalada e atualizar para a versão corrigida ou posterior.

O que administradores WordPress devem fazer

• Atualizar imediatamente o All-in-One WP Migration and Backup para a versão 7.110 ou superior.
• Não realizar restaurações utilizando versões antigas do plugin.
• Remover instalações desativadas e vulneráveis que não sejam mais necessárias.
• Manter backups externos independentes do próprio servidor WordPress.
• Revisar contas administrativas e atividades incomuns caso uma versão vulnerável tenha sido utilizada recentemente para importação ou restauração.
• Manter WordPress, plugins e temas atualizados.

Plugins de backup são alvos particularmente sensíveis

Falhas em ferramentas de backup e migração merecem atenção especial porque esses plugins normalmente precisam de privilégios elevados para acessar praticamente todos os componentes de uma instalação WordPress.

Um sistema de backup precisa ler e escrever arquivos, manipular o banco de dados e restaurar configurações completas do site. Quando uma vulnerabilidade permite que um atacante abuse desses mesmos mecanismos, o impacto potencial pode ser muito maior do que em plugins com funções mais limitadas.

Por isso, manter ferramentas administrativas atualizadas é tão importante quanto proteger o próprio WordPress.

Se você utiliza o All-in-One WP Migration, confira a versão agora. Qualquer instalação anterior à 7.110 deve ser considerada vulnerável à CVE-2026-19949 e atualizada antes de novas operações de backup, restauração ou migração.