Uma das vulnerabilidades mais graves alguma vez divulgadas para o WordPress
Foram recentemente divulgadas duas vulnerabilidades críticas que afetam diretamente o WordPress Core, permitindo que um atacante remoto consiga comprometer completamente um website sem necessitar de qualquer autenticação ou interação por parte do utilizador.
As vulnerabilidades, identificadas como CVE-2026-63030 e CVE-2026-60137, podem ser exploradas em conjunto para obter Remote Code Execution (RCE), permitindo executar código arbitrário no servidor onde o WordPress está alojado.
Ao contrário da maioria das vulnerabilidades críticas divulgadas para WordPress nos últimos anos, esta não depende de plugins ou temas de terceiros. O problema encontra-se no próprio núcleo da plataforma, afetando milhões de instalações em todo o mundo.
A gravidade da situação levou a equipa de segurança do WordPress a classificar esta vulnerabilidade como uma das mais prioritárias de sempre, iniciando imediatamente a distribuição de atualizações automáticas para as instalações vulneráveis.
Como funciona esta vulnerabilidade
Na realidade não estamos perante uma única vulnerabilidade, mas sim perante uma cadeia (“exploit chain”) composta por duas falhas distintas.
A primeira vulnerabilidade, CVE-2026-60137, consiste numa falha de SQL Injection presente no parâmetro author__not_in utilizado pelo WordPress durante determinadas pesquisas na base de dados.
Por si só, esta vulnerabilidade já permitiria a um atacante manipular consultas SQL e aceder a informação armazenada na base de dados.
A segunda vulnerabilidade, CVE-2026-63030, afeta o endpoint REST API Batch (/wp-json/batch/v1), introduzido nas versões mais recentes do WordPress. Devido a um erro na forma como os pedidos em lote são validados e posteriormente encaminhados internamente, um atacante consegue fazer com que um pedido aparentemente legítimo seja processado por um endpoint diferente daquele que foi originalmente validado.
Ao combinar ambas as vulnerabilidades, torna-se possível ultrapassar as validações existentes, explorar a falha de SQL Injection e, finalmente, alcançar execução remota de código, permitindo assumir o controlo total do website.
O ataque pode ser realizado remotamente, sem necessidade de login, sem qualquer interação do utilizador e, em muitos casos, contra uma instalação praticamente “limpa” do WordPress.
Porque é que esta vulnerabilidade é tão preocupante?
O WordPress continua a ser o sistema de gestão de conteúdos mais utilizado do mundo, estando presente em centenas de milhões de websites.
Quando uma vulnerabilidade desta gravidade afeta o próprio WordPress Core, o potencial de exploração torna-se extremamente elevado.
Um atacante que consiga explorar esta cadeia de vulnerabilidades poderá instalar backdoors permanentes, alterar conteúdos do website, roubar credenciais de acesso, obter informação confidencial armazenada na base de dados, distribuir malware aos visitantes ou utilizar o servidor comprometido como ponto de partida para novos ataques.
Embora, no momento da divulgação inicial, ainda não existissem campanhas de exploração em larga escala confirmadas, a situação evoluiu rapidamente. Poucas horas após a disponibilização das correções, investigadores independentes conseguiram analisar as alterações introduzidas pelo WordPress, compreender o funcionamento da vulnerabilidade e publicar um Proof of Concept (PoC) conhecido como wp2shell, demonstrando a viabilidade prática da exploração. Este facto aumenta significativamente a probabilidade de surgirem campanhas automatizadas dirigidas a instalações que permaneçam vulneráveis.
Versões afetadas
A vulnerabilidade não afeta todas as versões do WordPress da mesma forma.
A falha de SQL Injection (CVE-2026-60137) encontra-se presente nas versões 6.8.0 até 6.8.5. Já a cadeia completa que permite Remote Code Execution (CVE-2026-63030) afeta as versões 6.9.0 até 6.9.4 e 7.0.0 até 7.0.1, sendo estas as versões consideradas críticas.
O WordPress disponibilizou imediatamente novas versões corrigidas, recomendando a atualização para 6.8.6, 6.9.5 ou 7.0.2, consoante o branch utilizado.
O que deve fazer
A única forma de eliminar esta vulnerabilidade consiste em atualizar imediatamente o WordPress para uma versão corrigida.
Embora alguns mecanismos de proteção consigam reduzir temporariamente a superfície de ataque, nenhuma mitigação substitui a instalação das atualizações oficiais.
Recomendamos que todos os gestores de plataformas WordPress confirmem manualmente a versão atualmente instalada, mesmo que tenham as atualizações automáticas ativadas, verificando que o processo foi concluído com sucesso.
Após a atualização, é igualmente aconselhável rever os registos de acessos para identificar eventuais tentativas de exploração e garantir que não foram efetuadas alterações não autorizadas ao website.
Conclusão
Esta é uma das vulnerabilidades mais relevantes divulgadas para o WordPress nos últimos anos. A possibilidade de obter execução remota de código sem autenticação, aliada ao facto de afetar o próprio WordPress Core e de já existir um Proof of Concept público, faz com que o risco de exploração seja extremamente elevado.
Na WebTuga recomendamos que todos os clientes que utilizem WordPress verifiquem, com carácter de urgência, se os seus websites já se encontram atualizados para uma versão corrigida. A aplicação atempada das atualizações continua a ser a medida mais eficaz para impedir a exploração desta vulnerabilidade.