Uma cadeia de vulnerabilidades críticas no núcleo do WordPress, apelidada de wp2shell, está sendo explorada ativamente por hackers desde o último fim de semana. As falhas, que afetam as versões 6.9 e 7.0 da plataforma, permitem que um invasor assuma o controle total de um site com uma única requisição HTTP anônima, sem precisar de login, plugin vulnerável ou configuração especial.
O WordPress lançou correções de emergência na sexta-feira, 17 de julho, com as versões 6.9.5 e 7.0.2, e ativou atualizações forçadas para sites afetados. Mas, segundo empresas de segurança como WatchTowr, Patchstack e Hexastrike, a exploração já está em andamento em larga escala.
O que é o wp2shell
O wp2shell não é uma única falha, mas duas vulnerabilidades independentes que, quando encadeadas, se tornam um vetor de ataque devastador. A primeira, registrada como CVE-2026-63030 (pontuação CVSS 9.8), é um problema de confusão de rotas no endpoint de batch da REST API do WordPress, introduzido na versão 6.9. A segunda, CVE-2026-60137 (CVSS 5.9), é uma injeção de SQL no parâmetro author__not_in da classe WP_Query, presente desde a versão 6.8.
Sozinha, a injeção de SQL não pode ser explorada sem autenticação. Mas a confusão de rotas no batch da REST API permite que um atacante anônimo desalinhe a validação interna do WordPress e injete o parâmetro malicioso diretamente na consulta ao banco de dados. O resultado é a execução remota de código (RCE) em uma instalação padrão, sem plugins, sem temas de terceiros e sem credenciais.
Exploração em massa confirmada
De acordo com a WatchTowr, os honeypots da empresa registraram dezenas de milhares de tentativas de exploração desde o último sábado, com mais de 100 contas de administrador criadas por diferentes grupos criminosos. “Após a divulgação do código de exploração público, os atacantes começaram a varrer a internet indiscriminadamente, atingindo qualquer site acessível”, disse Jake Knott, pesquisador principal da WatchTowr, ao The Register.
A empresa de segurança Wiz também confirmou a exploração ativa, observando invasores fazendo upload de plugins maliciosos, enumerando usuários administradores e tentando ataques de inclusão de arquivos locais (LFI) para roubar credenciais do banco de dados. Um dos webshells implantados, disfarçado de plugin chamado “CMSmap”, continha uma plataforma de ataque completa com interface gráfica, gerenciamento de arquivos e módulos de escalação de privilégios.
O pesquisador Adam Kues, da Searchlight Cyber, que descobriu a falha usando o modelo GPT-5.6 Sol durante uma pesquisa de vulnerabilidades, afirmou que “nenhum pesquisador de segurança poderia ter encontrado e completado está cadeia de exploração em 10 horas sem IA”. A declaração reflete uma tendência preocupante: o uso de modelos de linguagem de grande escala para acelerar a engenharia reversa de patches e a criação de exploits.
Quem está em risco
As versões afetadas são:
- WordPress 6.9.0 a 6.9.4 (cadeia completa de RCE): corrigido na 6.9.5
- WordPress 7.0.0 a 7.0.1 (cadeia completa de RCE): corrigido na 7.0.2
- WordPress 6.8.0 a 6.8.5 (apenas injeção de SQL, sem RCE): corrigido na 6.8.6
Estatísticas oficiais do WordPress indicam que mais de 400 milhões de sites usavam essas versões antes do patch. O consultor de cibersegurança Daniel Card analisou uma amostra de cerca de 4.200 sites e estimou que menos de 15% ainda estariam vulneráveis, o que, aplicado ao universo total de instalações, aponta para cerca de 90 milhões de sites ainda expostos.
Sites com cache persistente (Redis ou Memcached) podem estar parcialmente protegidos contra a cadeia completa de exploração, mas continuam expostos à injeção de SQL isolada. A única proteção completa é a atualização do núcleo do WordPress.
Como se proteger
A ação necessária é simples: acessar o painel de administração do WordPress, clicar em “Atualizações” e instalar a versão mais recente disponível. Quem tem atualizações automáticas ativadas pode já estar protegido, mas é fundamental confirmar manualmente o número da versão.
Para administradores que não podem atualizar imediatamente, a Cloudflare já implantou regras de firewall para bloquear tentativas de exploração. A Searchlight Cyber também disponibilizou um verificador gratuito em wp2shell.com para testar se uma instalação está vulnerável.
Após aplicar o patch, é recomendável verificar se há sinais de comprometimento: contas de administrador desconhecidas, plugins suspeitos, arquivos PHP estranhos na pasta wp-content e registros de acesso ao endpoint /wp-json/batch/v1 antes da correção. Se houver indícios de invasão, todas as senhas devem ser trocadas e as chaves de API rotacionadas imediatamente.
Fontes: The Register, SecurityWeek, BleepingComputer, Wiz Blog, Tenable, Eye Security
