Plugin

O plugin Quick Page/Post Redirect, utilizado em mais de 70.000 sites WordPress, foi comprometido por um backdoor que permite a injeção de código arbitrário. A vulnerabilidade foi descoberta por Austin Ginder, fundador da provedora de hospedagem WordPress Anchor, após alertas de segurança em 12 sites infectados. O plugin, que serve para criar redirecionamentos, teve versões oficiais (5.2.1 e 5.2.2) que incluíam um mecanismo de autoatualização oculto, apontando para um domínio de terceiros, anadnet[.]com. Embora esse mecanismo tenha sido removido em versões subsequentes, sites que ainda utilizam as versões afetadas receberam silenciosamente uma versão adulterada (5.2.3) que introduziu um backdoor passivo. Esse backdoor é ativado apenas para usuários não logados, dificultando a detecção por administradores. O verdadeiro risco reside na capacidade de execução de código arbitrário, que permanece latente, pois o subdomínio malicioso não está resolvendo atualmente, mas ainda está ativo. A recomendação para os usuários afetados é desinstalar o plugin e aguardar uma versão limpa (5.2.4) do WordPress.org. Ginder também fez um apelo para que os responsáveis pelo backdoor publiquem um manifesto de atualização que force a remoção do código malicioso.

Uma vulnerabilidade crítica no plugin User Registration & Membership, desenvolvido pela WPEverest e instalado em mais de 60.000 sites WordPress, está sendo explorada por hackers. A falha, identificada como CVE-2026-1492, possui uma gravidade de 9.8, permitindo que atacantes criem contas de administrador sem autenticação, o que lhes confere acesso total ao site. Isso possibilita o roubo de dados, como informações de usuários registrados, e a inserção de códigos maliciosos para disseminar malware. A empresa de segurança WordPress Defiant bloqueou mais de 200 tentativas de exploração dessa vulnerabilidade em apenas 24 horas. A falha afeta todas as versões do plugin até a 5.1.2, e a correção foi disponibilizada na versão 5.1.3. Administradores de sites são aconselhados a atualizar para a versão mais recente, 5.1.4, ou desativar temporariamente o plugin se a atualização não for viável. A exploração de vulnerabilidades em plugins do WordPress é uma prática comum entre hackers, visando atividades maliciosas como distribuição de malware e phishing.

Uma vulnerabilidade crítica foi identificada no plugin Advanced Custom Fields: Extended (ACF Extended), utilizado em sites WordPress, que permite a hackers obterem permissões de administrador sem autenticação. Essa falha, classificada como CVE-2025-14533, está relacionada ao abuso de privilégios através do formulário de ação ‘Insert User / Update User’ nas versões 0.9.2.1 e posteriores. A vulnerabilidade se origina da falta de restrições adequadas durante a criação ou atualização de usuários, permitindo que qualquer hacker escolha o papel de um novo usuário. O pesquisador Andrea Bocchetti reportou a falha à empresa de segurança Wordfence em 10 de dezembro de 2025, e uma atualização foi disponibilizada quatro dias depois. Apesar de cerca de 50.000 sites estarem potencialmente vulneráveis, até o momento, não foram registrados ataques explorando essa falha. Contudo, a GreyNoise observou campanhas de hackers que visam falhas em plugins do WordPress, indicando um risco crescente para os usuários que ainda não atualizaram seus sistemas.

Pesquisadores da Patchstack identificaram uma vulnerabilidade crítica no plugin Modular DS do WordPress, classificada como CVE-2026-23550, que afeta as versões 2.5.1 e anteriores. Essa falha permite que hackers obtenham acesso administrativo a sites, colocando em risco a segurança de dados e operações. O problema decorre de falhas de projeto que aceitam solicitações como ‘confiáveis’ sem verificação criptografada da origem. Isso possibilita que, ao não fornecer um ID de usuário, o sistema faça login automaticamente como um administrador, permitindo o controle total do site. Após a notificação, a Modular DS lançou uma atualização para corrigir a vulnerabilidade, e os usuários são aconselhados a atualizar imediatamente para evitar ataques. A exploração dessa falha pode resultar em danos significativos, especialmente para empresas que dependem do WordPress para gerenciar seus sites.

Uma vulnerabilidade crítica, identificada como CVE-2025-11749, foi descoberta no plugin AI Engine do WordPress, que está ativo em mais de 100 mil sites. Com uma pontuação CVSS de 9.8, a falha permite que atacantes não autenticados recuperem um token de acesso exposto da API REST MCP, concedendo-lhes privilégios administrativos completos nos sites afetados. O problema foi relatado por Emiliano Versini através do programa de recompensas da Wordfence em 4 de outubro de 2025 e corrigido pelo desenvolvedor Jordy Meow na versão 3.1.4, lançada em 19 de outubro de 2025. A vulnerabilidade reside na integração do plugin com o Modelo de Contexto de Protocolo (MCP), que permite que sistemas de IA interajam com o WordPress. As versões até 3.1.3 não incluíram o parâmetro “show_in_index => false” durante o registro da rota REST, expondo endpoints visíveis publicamente. Os proprietários de sites afetados devem atualizar para a versão 3.1.4 ou superior e rotacionar imediatamente o token de acesso MCP para evitar acessos não autorizados.

Uma vulnerabilidade crítica foi identificada no plugin Anti-Malware Security e Brute-Force Firewall do WordPress, afetando mais de 100 mil sites globalmente. A falha, registrada como CVE-2025-11705, permite que atacantes autenticados com acesso básico leiam arquivos arbitrários nos servidores afetados, expondo dados sensíveis como configurações e credenciais de banco de dados. O problema decorre da ausência de uma verificação de autorização na função GOTMLS_ajax_scan(), que exibe resultados de varredura de malware. Apesar de mecanismos de proteção, a implementação falhou em validar corretamente as capacidades dos usuários, permitindo que contas de baixo privilégio contornassem essas salvaguardas. A vulnerabilidade foi descoberta pelo pesquisador Dmitrii Ignatyev e divulgada através do programa de recompensas da Wordfence, resultando em um patch liberado em 15 de outubro de 2025. Administradores de sites devem atualizar imediatamente para a versão 4.23.83 ou posterior para mitigar os riscos. Este incidente destaca a importância de manter versões de plugins atualizadas e monitorar avisos de segurança.