O que foi corrigido

As versões 6.9.5 e 7.0.2 do WordPress foram lançadas em 17 de julho de 2026 para corrigir a cadeia de vulnerabilidades wp2shell. A falha foi descoberta e divulgada de forma responsável por Adam Kues da Assetnote, parte da Searchlight Cyber . Devido à gravidade, a equipe do WordPress ativou atualizações automáticas forçadas para todos os sites afetados .

Identificadores

O ataque wp2shell é uma combinação de duas vulnerabilidades :

• CVE-2026-63030 — Um problema de confusão de rota no endpoint batch da API REST. Classificado como crítico, com pontuação CVSS de 9.8 . (Relatos iniciais de uma fonte listaram 7.5, mas vários fornecedores de segurança revisaram para 9.8 .)
• CVE-2026-60137 — Uma injeção de SQL não autenticada no parâmetro author__not_in do WP_Query. Classificado como alta gravidade .

Versões afetadas

• WordPress 6.9.x: Todas as versões anteriores a 6.9.5 (6.9.0 a 6.9.4)
• WordPress 7.0.x: Todas as versões anteriores a 7.0.2 (7.0.0 e 7.0.1)
• O branch mais antigo 6.8.x recebeu um backport para 6.8.6

Detalhes técnicos

O ataque wp2shell encadeia duas falhas :

1. CVE-2026-60137 é uma injeção de SQL não autenticada. Ao enviar requisições HTTP manipuladas para o parâmetro author__not_in, um atacante pode injetar SQL malicioso no banco de dados do WordPress sem qualquer credencial de login.

2. CVE-2026-63030 é uma falha de confusão de rota no endpoint batch da API REST (/wp-json/batch/v1). Este endpoint processa múltiplas sub-requisições em uma única chamada. Uma peculiaridade de análise faz com que dois arrays internos saiam de sincronia, permitindo que um atacante contorne as restrições de rota e encadeie chamadas internas da API que normalmente seriam proibidas .

Quando combinadas, um atacante usa o endpoint batch para fazer requisições aninhadas que abusam da injeção de SQL. Isso escala para execução remota de código completa ao:

• Escrever dados arbitrários (como um webshell PHP) no sistema de arquivos via comando INTO OUTFILE do MySQL, ou
• Manipular opções do WordPress que executam PHP .

O ataque requer nenhuma autenticação, nenhum plugin e funciona em uma instalação padrão do WordPress . Em 18 de julho de 2026, um verificador público de prova de conceito foi lançado em wp2shell.com, e um PoC funcional está circulando .

Uma nuance importante: um cache de objeto persistente (como Redis ou Memcached) pode mitigar parcialmente ou alterar o caminho de exploração, mas não elimina a vulnerabilidade subjacente .

Passos de mitigação

1. Atualize imediatamente — Atualize para WordPress 6.9.5, 7.0.2 ou 6.8.6. A maioria dos sites com atualizações automáticas ativadas já deve ter recebido a atualização forçada .
2. Verifique sua versão — Vá em Painel → Atualizações ou verifique o arquivo wp-includes/version.php.
3. Se não puder atualizar imediatamente, implante um patch virtual ou regra de WAF. A Cloudflare lançou regras de WAF bloqueando especificamente o vetor de ataque wp2shell .
4. Verifique indicadores de comprometimento — Procure por arquivos inesperados em wp-content/uploads/, usuários admin desconhecidos ou entradas incomuns no banco de dados. Embora nenhuma exploração em massa tenha sido confirmada, o PoC público significa que a varredura provavelmente já começou.
5. Revise os privilégios do usuário do banco de dados — Certifique-se de que o usuário do banco de dados do WordPress não tenha o privilégio FILE (que permite INTO OUTFILE). Isso limita o caminho de escalada para RCE.

Por que a natureza de código aberto do WordPress representa um risco agudo

Mesmo sem exploração confirmada em ambientes reais, o modelo de código aberto introduziu um risco distintivo e agudo para o wp2shell:

• Transparência total do código fonte para atacantes — Como o WordPress é código aberto, qualquer um pode baixar as versões corrigidas, difamar o código contra as versões vulneráveis e reverter a engenharia do caminho exato de exploração em horas após o lançamento do patch. Fornecedores de segurança confirmaram que a difagem do código fonte revela imediatamente o código vulnerável .
• Janela encurtada para defensores — Ao contrário de software proprietário, onde o desenvolvimento de exploits requer pesquisa de vulnerabilidade independente, um patch de código aberto efetivamente publica os detalhes da vulnerabilidade. Os defensores devem corrigir globalmente em horas, não dias.
• Superfície de ataque massiva e diversa — O WordPress alimenta aproximadamente 43% de todos os sites. Milhões de instalações são operadas por administradores com maturidade de segurança variável. Muitos sites são negligenciados, estão em versões desatualizadas do PHP ou não possuem atualizações automáticas, tornando-se alvos fáceis assim que o código do exploit se torna público .
• Baixa barreira para armamento — O verificador PoC e o código do exploit foram publicados em 24 horas após o patch . Qualquer atacante moderadamente qualificado pode adaptar o código público em uma arma de varredura em massa.
• Nenhuma barreira de autenticação — Toda a cadeia é pré-autenticação e funciona contra uma instalação padrão do WordPress. Um atacante não precisa de credenciais válidas, um plugin vulnerável ou qualquer configuração especial. Isso reduz drasticamente o esforço necessário para armar a vulnerabilidade em escala .

Em resumo, o modelo de código aberto significa que o próprio patch se torna o documento de divulgação detalhado, e a base de instalação massiva e de qualidade variável garante uma longa cauda de alvos vulneráveis — criando um período de alto risco mesmo antes de qualquer exploração "oficial" ser observada.

O que foi corrigido

As versões 6.9.5 e 7.0.2 do WordPress foram lançadas em 17 de julho de 2026 para corrigir a cadeia de vulnerabilidades wp2shell. A falha foi descoberta e divulgada de forma responsável por Adam Kues da Assetnote, parte da Searchlight Cyber . Devido à gravidade, a equipe do WordPress ativou atualizações automáticas forçadas para todos os sites afetados .

Identificadores

O ataque wp2shell é uma combinação de duas vulnerabilidades :

• CVE-2026-63030 — Um problema de confusão de rota no endpoint batch da API REST. Classificado como crítico, com pontuação CVSS de 9.8 . (Relatos iniciais de uma fonte listaram 7.5, mas vários fornecedores de segurança revisaram para 9.8 .)
• CVE-2026-60137 — Uma injeção de SQL não autenticada no parâmetro author__not_in do WP_Query. Classificado como alta gravidade .

Versões afetadas

• WordPress 6.9.x: Todas as versões anteriores a 6.9.5 (6.9.0 a 6.9.4)
• WordPress 7.0.x: Todas as versões anteriores a 7.0.2 (7.0.0 e 7.0.1)
• O branch mais antigo 6.8.x recebeu um backport para 6.8.6

Detalhes técnicos

O ataque wp2shell encadeia duas falhas :

1. CVE-2026-60137 é uma injeção de SQL não autenticada. Ao enviar requisições HTTP manipuladas para o parâmetro author__not_in, um atacante pode injetar SQL malicioso no banco de dados do WordPress sem qualquer credencial de login.

2. CVE-2026-63030 é uma falha de confusão de rota no endpoint batch da API REST (/wp-json/batch/v1). Este endpoint processa múltiplas sub-requisições em uma única chamada. Uma peculiaridade de análise faz com que dois arrays internos saiam de sincronia, permitindo que um atacante contorne as restrições de rota e encadeie chamadas internas da API que normalmente seriam proibidas .

Quando combinadas, um atacante usa o endpoint batch para fazer requisições aninhadas que abusam da injeção de SQL. Isso escala para execução remota de código completa ao:

• Escrever dados arbitrários (como um webshell PHP) no sistema de arquivos via comando INTO OUTFILE do MySQL, ou
• Manipular opções do WordPress que executam PHP .

O ataque requer nenhuma autenticação, nenhum plugin e funciona em uma instalação padrão do WordPress . Em 18 de julho de 2026, um verificador público de prova de conceito foi lançado em wp2shell.com, e um PoC funcional está circulando .

Uma nuance importante: um cache de objeto persistente (como Redis ou Memcached) pode mitigar parcialmente ou alterar o caminho de exploração, mas não elimina a vulnerabilidade subjacente .

Passos de mitigação

1. Atualize imediatamente — Atualize para WordPress 6.9.5, 7.0.2 ou 6.8.6. A maioria dos sites com atualizações automáticas ativadas já deve ter recebido a atualização forçada .
2. Verifique sua versão — Vá em Painel → Atualizações ou verifique o arquivo wp-includes/version.php.
3. Se não puder atualizar imediatamente, implante um patch virtual ou regra de WAF. A Cloudflare lançou regras de WAF bloqueando especificamente o vetor de ataque wp2shell .
4. Verifique indicadores de comprometimento — Procure por arquivos inesperados em wp-content/uploads/, usuários admin desconhecidos ou entradas incomuns no banco de dados. Embora nenhuma exploração em massa tenha sido confirmada, o PoC público significa que a varredura provavelmente já começou.
5. Revise os privilégios do usuário do banco de dados — Certifique-se de que o usuário do banco de dados do WordPress não tenha o privilégio FILE (que permite INTO OUTFILE). Isso limita o caminho de escalada para RCE.

Por que a natureza de código aberto do WordPress representa um risco agudo

Mesmo sem exploração confirmada em ambientes reais, o modelo de código aberto introduziu um risco distintivo e agudo para o wp2shell:

• Transparência total do código fonte para atacantes — Como o WordPress é código aberto, qualquer um pode baixar as versões corrigidas, difamar o código contra as versões vulneráveis e reverter a engenharia do caminho exato de exploração em horas após o lançamento do patch. Fornecedores de segurança confirmaram que a difagem do código fonte revela imediatamente o código vulnerável .
• Janela encurtada para defensores — Ao contrário de software proprietário, onde o desenvolvimento de exploits requer pesquisa de vulnerabilidade independente, um patch de código aberto efetivamente publica os detalhes da vulnerabilidade. Os defensores devem corrigir globalmente em horas, não dias.
• Superfície de ataque massiva e diversa — O WordPress alimenta aproximadamente 43% de todos os sites. Milhões de instalações são operadas por administradores com maturidade de segurança variável. Muitos sites são negligenciados, estão em versões desatualizadas do PHP ou não possuem atualizações automáticas, tornando-se alvos fáceis assim que o código do exploit se torna público .
• Baixa barreira para armamento — O verificador PoC e o código do exploit foram publicados em 24 horas após o patch . Qualquer atacante moderadamente qualificado pode adaptar o código público em uma arma de varredura em massa.
• Nenhuma barreira de autenticação — Toda a cadeia é pré-autenticação e funciona contra uma instalação padrão do WordPress. Um atacante não precisa de credenciais válidas, um plugin vulnerável ou qualquer configuração especial. Isso reduz drasticamente o esforço necessário para armar a vulnerabilidade em escala .

Em resumo, o modelo de código aberto significa que o próprio patch se torna o documento de divulgação detalhado, e a base de instalação massiva e de qualidade variável garante uma longa cauda de alvos vulneráveis — criando um período de alto risco mesmo antes de qualquer exploração "oficial" ser observada.