Wordpress

Uma vulnerabilidade crítica no plugin Funnel Builder para WordPress está sendo ativamente explorada para injetar código JavaScript malicioso nas páginas de checkout do WooCommerce, com o objetivo de roubar dados de pagamento. A falha afeta todas as versões do plugin anteriores à 3.15.0.3 e é utilizada em mais de 40.000 lojas WooCommerce. A vulnerabilidade permite que atacantes não autenticados injetem JavaScript arbitrário em cada página de checkout, disfarçando o código malicioso como scripts de análise do Google Tag Manager. Isso resulta na instalação de um skimmer de pagamento que captura números de cartões de crédito, CVVs e endereços de cobrança dos usuários durante a finalização da compra. A empresa responsável pelo plugin, FunnelKit, já lançou um patch para corrigir a falha. Os proprietários de sites são aconselhados a atualizar o plugin e revisar as configurações de scripts externos para remover qualquer código suspeito. A situação é alarmante, pois a injeção de código malicioso em plataformas amplamente utilizadas pode ter um impacto significativo na segurança das transações online.

Uma vulnerabilidade crítica no plugin Funnel Builder para WordPress está sendo explorada ativamente para injetar trechos de JavaScript malicioso nas páginas de checkout do WooCommerce. Essa falha, que não possui um identificador oficial, pode ser utilizada sem autenticação e afeta todas as versões do plugin anteriores à 3.15.0.3. O Funnel Builder, desenvolvido pela FunnelKit, é amplamente utilizado em mais de 40.000 sites para personalizar páginas de checkout. A empresa de segurança cibernética Sansec detectou que a carga maliciosa se disfarça como um script do Google Tag Manager/Google Analytics, estabelecendo uma conexão WebSocket com um servidor externo. Um atacante pode explorar essa vulnerabilidade para modificar as configurações globais do plugin, permitindo a injeção de JavaScript arbitrário nas configurações de “Scripts Externos”, resultando na execução de código malicioso em todas as páginas de checkout. Essa técnica permite que os criminosos roubem informações sensíveis, como números de cartões de crédito e endereços de cobrança. A FunnelKit lançou uma atualização para corrigir a vulnerabilidade, recomendando que os administradores de sites atualizem imediatamente para a versão mais recente e verifiquem possíveis scripts maliciosos nas configurações do plugin.

Duas vulnerabilidades críticas foram identificadas no plugin Avada Builder para WordPress, que possui cerca de um milhão de instalações ativas. A primeira, identificada como CVE-2026-4782, permite que usuários autenticados com nível de acesso de assinante leiam arquivos arbitrários no servidor, incluindo o wp-config.php, que contém credenciais sensíveis do banco de dados. A segunda vulnerabilidade, CVE-2026-4798, é uma injeção SQL que pode ser explorada por atacantes não autenticados, desde que o plugin WooCommerce tenha sido ativado e depois desativado. Essa falha permite a extração de informações sensíveis do banco de dados, como hashes de senhas. Ambas as vulnerabilidades foram descobertas pelo pesquisador de segurança Rafie Muhammad e reportadas ao programa de recompensas da Wordfence. A atualização para a versão 3.15.3 do Avada Builder é altamente recomendada para mitigar esses riscos. O impacto potencial é significativo, pois a exploração dessas falhas pode levar a um comprometimento total do site, afetando a segurança e a privacidade dos dados dos usuários.

Hackers estão explorando uma vulnerabilidade crítica de bypass de autenticação no plugin Burst Statistics do WordPress, que permite acesso administrativo a sites. Este plugin, focado em privacidade, está ativo em aproximadamente 200 mil sites WordPress e é uma alternativa leve ao Google Analytics. A falha, identificada como CVE-2026-8181, foi introduzida na versão 3.4.0 do plugin, lançada em 23 de abril, e também está presente na versão 3.4.1. A vulnerabilidade permite que atacantes não autenticados se façam passar por usuários administradores conhecidos durante requisições da API REST, podendo até criar contas de administrador fraudulentas. O problema decorre da interpretação incorreta dos resultados da função ‘wp_authenticate_application_password()’, que trata um erro como uma autenticação bem-sucedida. A Wordfence, que descobriu a falha, já bloqueou mais de 7.400 tentativas de ataque em 24 horas. Os usuários do plugin são aconselhados a atualizar para a versão 3.4.2 ou desativar o plugin, pois cerca de 115 mil sites ainda estão vulneráveis a ataques de tomada de conta administrativa.

Uma nova campanha de phishing está direcionando usuários do ManageWP, plataforma da GoDaddy para gerenciamento de sites WordPress, através de resultados patrocinados no Google. Os atacantes utilizam uma abordagem de adversário no meio (AiTM), onde uma página de login falsa atua como um proxy em tempo real entre a vítima e o serviço legítimo do ManageWP. Essa técnica permite que os criminosos capturem credenciais e, em seguida, solicitem o código de autenticação de dois fatores (2FA) para acessar as contas. Pesquisadores da Guardio Labs alertam que o resultado malicioso aparece acima do legítimo na busca por ‘managewp’, enganando usuários que confiam no Google para acessar o serviço. A campanha já afetou 200 vítimas únicas, e os pesquisadores conseguiram infiltrar a infraestrutura de comando e controle dos atacantes, revelando um sistema interativo de phishing. A plataforma ManageWP é amplamente utilizada, com seu plugin ativo em mais de 1 milhão de sites, o que aumenta a gravidade da ameaça. Os pesquisadores também encontraram um acordo em russo no código, indicando que a operação pode ser parte de uma estrutura de phishing privada.

O plugin Quick Page/Post Redirect, utilizado em mais de 70.000 sites WordPress, foi comprometido por um backdoor que permite a injeção de código arbitrário. A vulnerabilidade foi descoberta por Austin Ginder, fundador da provedora de hospedagem WordPress Anchor, após alertas de segurança em 12 sites infectados. O plugin, que serve para criar redirecionamentos, teve versões oficiais (5.2.1 e 5.2.2) que incluíam um mecanismo de autoatualização oculto, apontando para um domínio de terceiros, anadnet[.]com. Embora esse mecanismo tenha sido removido em versões subsequentes, sites que ainda utilizam as versões afetadas receberam silenciosamente uma versão adulterada (5.2.3) que introduziu um backdoor passivo. Esse backdoor é ativado apenas para usuários não logados, dificultando a detecção por administradores. O verdadeiro risco reside na capacidade de execução de código arbitrário, que permanece latente, pois o subdomínio malicioso não está resolvendo atualmente, mas ainda está ativo. A recomendação para os usuários afetados é desinstalar o plugin e aguardar uma versão limpa (5.2.4) do WordPress.org. Ginder também fez um apelo para que os responsáveis pelo backdoor publiquem um manifesto de atualização que force a remoção do código malicioso.

Uma vulnerabilidade de alta severidade foi identificada no LMDeploy, um toolkit de código aberto para compressão e implantação de modelos de linguagem, e já está sendo ativamente explorada. A falha, classificada como CVE-2026-33626 com um score CVSS de 7.5, refere-se a uma vulnerabilidade de Server-Side Request Forgery (SSRF) que permite o acesso a dados sensíveis. O problema reside na função load_image() que não valida endereços IP internos, possibilitando que atacantes acessem serviços de metadados em nuvem e redes internas. A exploração bem-sucedida pode permitir o roubo de credenciais de nuvem e a movimentação lateral em redes internas. A empresa Sysdig detectou a primeira tentativa de exploração em um sistema honeypot apenas 12 horas após a divulgação da vulnerabilidade, com o atacante realizando uma varredura de portas em serviços internos. Este incidente destaca a rapidez com que as vulnerabilidades estão sendo exploradas, especialmente em um contexto onde a inteligência artificial está acelerando a criação de exploits. Além disso, outras vulnerabilidades em plugins do WordPress e dispositivos Modbus também estão sendo alvo de ataques, evidenciando um cenário de ameaças em expansão.

Hackers estão explorando ativamente uma vulnerabilidade crítica no plugin Breeze Cache para WordPress, que permite o upload de arquivos arbitrários no servidor sem autenticação. A falha, identificada como CVE-2026-3844, já foi utilizada em mais de 170 tentativas de exploração, conforme relatado pela solução de segurança Wordfence. O plugin, desenvolvido pela Cloudways, possui mais de 400 mil instalações ativas e é projetado para melhorar o desempenho do site através de cache e otimização de arquivos. A vulnerabilidade recebeu uma pontuação de severidade crítica de 9.8 em 10 e foi descoberta pelo pesquisador de segurança Hung Nguyen. O problema se origina da falta de validação do tipo de arquivo na função ‘fetch_gravatar_from_remote’, permitindo que um atacante não autenticado faça o upload de arquivos, o que pode levar à execução remota de código e à tomada total do site. A exploração bem-sucedida só é possível se o complemento ‘Host Files Locally - Gravatars’ estiver ativado, o que não é a configuração padrão. A Cloudways corrigiu a falha na versão 2.4.5, lançada recentemente. Os administradores de sites que utilizam o Breeze Cache devem atualizar para a versão mais recente ou desativar temporariamente o plugin para evitar riscos.

Recentemente, mais de 30 plugins do pacote EssentialPlugin foram comprometidos com um código malicioso que permite acesso não autorizado a sites que os utilizam. O código backdoor foi inserido no ano passado, mas começou a ser distribuído por meio de atualizações apenas recentemente, gerando páginas de spam e redirecionamentos, conforme as instruções de um servidor de comando e controle (C2). O problema foi identificado por Austin Ginder, fundador da Anchor Hosting, após receber uma dica sobre um dos plugins. Investigações subsequentes revelaram que o backdoor estava presente em todos os plugins do pacote desde agosto de 2025, após a aquisição do projeto por um novo proprietário. O código malicioso, que se mantinha inativo até então, foi ativado e começou a se comunicar com uma infraestrutura externa para baixar um arquivo que injeta malware no arquivo de configuração do WordPress. A equipe do WordPress.org agiu rapidamente, desativando os plugins e forçando uma atualização para neutralizar a comunicação do backdoor. No entanto, alertaram que a ação não limpa o arquivo de configuração principal, que contém configurações críticas do site. Administradores de sites que utilizam produtos EssentialPlugin devem estar atentos, pois o malware pode estar oculto em outros arquivos além do identificado.

Um incidente de segurança cibernética recente revelou que atacantes desconhecidos comprometeram o sistema de atualização do plugin Smart Slider 3 Pro, utilizado em sites WordPress e Joomla. A versão afetada, 3.5.1.35, foi lançada em 7 de abril de 2026 e, em um intervalo de aproximadamente seis horas, permitiu que uma versão maliciosa fosse instalada em mais de 800 mil sites. O malware incluía um backdoor que possibilitava a criação de contas de administrador ocultas e a execução remota de comandos no servidor. A empresa Nextend, responsável pelo plugin, agiu rapidamente para desativar seus servidores de atualização e remover a versão comprometida. Os usuários afetados foram aconselhados a atualizar para a versão 3.5.1.36 e realizar uma série de etapas de limpeza, incluindo a remoção de contas suspeitas e arquivos persistentes. Este incidente destaca a vulnerabilidade das cadeias de suprimento de software, onde um ataque pode ocorrer através de canais de atualização confiáveis, tornando as defesas tradicionais ineficazes.

Recentemente, hackers invadiram o sistema de atualização do plugin Smart Slider 3 Pro, utilizado em mais de 900 mil sites WordPress e Joomla, e distribuíram uma versão maliciosa que contém múltiplas portas dos fundos. O desenvolvedor do plugin confirmou que apenas a versão 3.5.1.35 está comprometida e recomenda que os usuários atualizem imediatamente para a versão 3.5.1.36 ou revertam para a versão 3.5.1.34 ou anterior. A atualização maliciosa não apenas instalou backdoors em várias localizações, mas também criou um usuário oculto com permissões de administrador e roubou dados sensíveis. A análise da empresa PatchStack revelou que o malware é um kit de ferramentas multi-camadas que permite a execução de comandos remotamente, sem autenticação, e inclui uma segunda porta dos fundos autenticada. Além disso, o malware cria um diretório ‘mu-plugins’ que carrega um plugin disfarçado, tornando-se invisível no painel do WordPress. O alerta se estende também para instalações Joomla, onde o código malicioso pode criar contas de administrador ocultas e roubar informações do site. Administradores são aconselhados a remover o plugin comprometido e seguir um guia de limpeza manual fornecido pelo desenvolvedor.

Uma vulnerabilidade crítica foi identificada no complemento premium Ninja Forms File Uploads para WordPress, permitindo o upload de arquivos arbitrários sem autenticação, o que pode resultar em execução remota de código. Classificada como CVE-2026-0740, essa falha já está sendo explorada em ataques ativos, com mais de 3.600 tentativas bloqueadas pelo firewall Wordfence em apenas 24 horas. O Ninja Forms, um construtor de formulários popular com mais de 600.000 downloads, permite que usuários criem formulários sem codificação. A extensão de upload de arquivos, utilizada por cerca de 90.000 clientes, apresenta uma gravidade de 9.8 em 10. A vulnerabilidade se origina da falta de validação dos tipos de arquivos e extensões no nome do arquivo de destino, permitindo que atacantes não autenticados façam upload de arquivos maliciosos, incluindo scripts PHP. A exploração dessa falha pode levar a consequências severas, como a instalação de web shells e a tomada total do site. A vulnerabilidade foi descoberta em 8 de janeiro e um patch completo foi disponibilizado em 19 de março. Usuários do Ninja Forms File Upload são fortemente aconselhados a atualizar para a versão mais recente para mitigar riscos.

Uma vulnerabilidade no plugin Smart Slider 3, utilizado em mais de 800 mil sites WordPress, permite que usuários autenticados, como assinantes, acessem arquivos arbitrários no servidor. A falha, identificada como CVE-2026-3098, foi descoberta pelo pesquisador Dmitrii Ignatyev e afeta todas as versões do plugin até a 3.5.1.33. O problema se origina da falta de verificações de capacidade nas ações de exportação AJAX do plugin, permitindo que qualquer usuário autenticado invoque funções que não validam o tipo ou a origem dos arquivos. Isso significa que arquivos sensíveis, como o wp-config.php, que contém credenciais do banco de dados, podem ser acessados, aumentando o risco de roubo de dados e comprometimento total do site. Embora a vulnerabilidade tenha recebido uma classificação de severidade média, ela ainda representa um risco significativo, especialmente para sites com opções de assinatura. A Nextendweb, desenvolvedora do plugin, lançou um patch em 24 de março, mas estima-se que cerca de 500 mil sites ainda estejam vulneráveis. Os administradores de sites devem agir rapidamente para mitigar os riscos associados a essa falha.

Uma vulnerabilidade crítica no plugin User Registration & Membership, desenvolvido pela WPEverest e instalado em mais de 60.000 sites WordPress, está sendo explorada por hackers. A falha, identificada como CVE-2026-1492, possui uma gravidade de 9.8, permitindo que atacantes criem contas de administrador sem autenticação, o que lhes confere acesso total ao site. Isso possibilita o roubo de dados, como informações de usuários registrados, e a inserção de códigos maliciosos para disseminar malware. A empresa de segurança WordPress Defiant bloqueou mais de 200 tentativas de exploração dessa vulnerabilidade em apenas 24 horas. A falha afeta todas as versões do plugin até a 5.1.2, e a correção foi disponibilizada na versão 5.1.3. Administradores de sites são aconselhados a atualizar para a versão mais recente, 5.1.4, ou desativar temporariamente o plugin se a atualização não for viável. A exploração de vulnerabilidades em plugins do WordPress é uma prática comum entre hackers, visando atividades maliciosas como distribuição de malware e phishing.

Uma vulnerabilidade crítica foi identificada no plugin Advanced Custom Fields: Extended (ACF Extended), utilizado em sites WordPress, que permite a hackers obterem permissões de administrador sem autenticação. Essa falha, classificada como CVE-2025-14533, está relacionada ao abuso de privilégios através do formulário de ação ‘Insert User / Update User’ nas versões 0.9.2.1 e posteriores. A vulnerabilidade se origina da falta de restrições adequadas durante a criação ou atualização de usuários, permitindo que qualquer hacker escolha o papel de um novo usuário. O pesquisador Andrea Bocchetti reportou a falha à empresa de segurança Wordfence em 10 de dezembro de 2025, e uma atualização foi disponibilizada quatro dias depois. Apesar de cerca de 50.000 sites estarem potencialmente vulneráveis, até o momento, não foram registrados ataques explorando essa falha. Contudo, a GreyNoise observou campanhas de hackers que visam falhas em plugins do WordPress, indicando um risco crescente para os usuários que ainda não atualizaram seus sistemas.

Uma vulnerabilidade de gravidade crítica foi identificada no plugin ACF Extended para WordPress, que atualmente está ativo em cerca de 100.000 sites. A falha, registrada como CVE-2025-14533, permite que atacantes não autenticados obtenham permissões administrativas ao explorar a ação de formulário ‘Inserir Usuário / Atualizar Usuário’. Essa vulnerabilidade afeta as versões 0.9.2.1 e anteriores do plugin, que não impõem restrições de função durante a criação ou atualização de usuários. Mesmo que as configurações de campo estejam adequadas, a exploração é possível, permitindo que o papel do usuário seja definido arbitrariamente, inclusive como ‘administrador’. Embora a exploração dessa falha seja severa, ela só pode ser realizada em sites que utilizam explicitamente um formulário de ‘Criar Usuário’ ou ‘Atualizar Usuário’ com um campo de função mapeado. A vulnerabilidade foi descoberta pelo pesquisador de segurança Andrea Bocchetti e corrigida pelo fornecedor em 14 de dezembro de 2025. Apesar de ainda não haver relatos de ataques, atividades de reconhecimento em larga escala visando plugins vulneráveis foram observadas, o que indica um potencial risco para os sites que não atualizaram para a versão corrigida.

Pesquisadores da Patchstack identificaram uma vulnerabilidade crítica no plugin Modular DS do WordPress, classificada como CVE-2026-23550, que afeta as versões 2.5.1 e anteriores. Essa falha permite que hackers obtenham acesso administrativo a sites, colocando em risco a segurança de dados e operações. O problema decorre de falhas de projeto que aceitam solicitações como ‘confiáveis’ sem verificação criptografada da origem. Isso possibilita que, ao não fornecer um ID de usuário, o sistema faça login automaticamente como um administrador, permitindo o controle total do site. Após a notificação, a Modular DS lançou uma atualização para corrigir a vulnerabilidade, e os usuários são aconselhados a atualizar imediatamente para evitar ataques. A exploração dessa falha pode resultar em danos significativos, especialmente para empresas que dependem do WordPress para gerenciar seus sites.

Hackers estão explorando uma falha de gravidade máxima no plugin Modular DS do WordPress, que permite a eles contornar a autenticação remotamente e acessar sites vulneráveis com privilégios de administrador. A falha, identificada como CVE-2026-23550, afeta as versões 2.5.1 e anteriores do plugin, que é utilizado para gerenciar múltiplos sites WordPress a partir de uma única interface. Com mais de 40.000 instalações, o plugin permite que proprietários, desenvolvedores e provedores de hospedagem monitorem sites, realizem atualizações e gerenciem usuários. Pesquisadores da Patchstack confirmaram que a exploração da falha começou em 13 de janeiro, e a Modular DS lançou uma correção na versão 2.5.2 poucas horas depois. A vulnerabilidade é causada por falhas de design que aceitam requisições como confiáveis sem uma verificação criptográfica de sua origem, permitindo uma escalada de privilégios. Os usuários são aconselhados a atualizar para a versão mais recente e revisar logs de acesso ao servidor em busca de requisições suspeitas, além de regenerar todas as chaves do WordPress após a atualização.

Uma falha de segurança de severidade máxima foi identificada no plugin Modular DS do WordPress, afetando todas as versões até a 2.5.1. A vulnerabilidade, classificada como CVE-2026-23550 com uma pontuação CVSS de 10.0, permite a escalada de privilégios não autenticados. O problema reside na forma como o plugin gerencia suas rotas, permitindo que atacantes contornem mecanismos de autenticação ao ativar o modo de ‘pedido direto’. Isso expõe várias rotas sensíveis, como /login/ e /manager/, permitindo ações que vão desde login remoto até a obtenção de dados confidenciais. Desde 13 de janeiro de 2026, ataques explorando essa falha foram detectados, com tentativas de criar usuários administradores. O plugin possui mais de 40.000 instalações ativas e a versão corrigida 2.5.2 já está disponível. A situação ressalta os riscos de confiar implicitamente em caminhos de requisição internos expostos à internet pública. Usuários do plugin são fortemente aconselhados a atualizar para a versão corrigida o mais rápido possível.

Pesquisadores em cibersegurança identificaram uma campanha significativa de skimming na web, ativa desde janeiro de 2022, que visa grandes redes de pagamento como American Express, Mastercard e UnionPay. Esses ataques, classificados como Magecart, envolvem a injeção de código JavaScript malicioso em sites de e-commerce e portais de pagamento, permitindo que criminosos capturem informações de cartões de crédito e dados pessoais dos usuários durante o processo de checkout.

O relatório da Silent Push revela que a campanha foi descoberta após a análise de um domínio suspeito associado a um provedor de hospedagem sancionado. O domínio, cdn-cookie[.]com, hospeda códigos JavaScript ofuscados que facilitam o skimming. O ataque é projetado para evitar a detecção, verificando a presença de elementos específicos na estrutura do site e manipulando a interface do usuário para apresentar formulários de pagamento falsos.

Uma falha de segurança crítica foi identificada no plugin Sneeit Framework para WordPress, afetando todas as versões até a 8.3, com uma pontuação CVSS de 9.8. Essa vulnerabilidade, classificada como CVE-2025-6389, permite a execução remota de código, possibilitando que atacantes não autenticados executem funções PHP arbitrárias no servidor. O Wordfence, empresa de segurança, relatou que a exploração da falha começou em 24 de novembro de 2025, com mais de 131.000 tentativas de ataque bloqueadas, sendo 15.381 apenas nas últimas 24 horas. Os atacantes têm utilizado requisições HTTP maliciosas para criar contas de administrador e carregar arquivos PHP maliciosos, que podem ser usados para injetar backdoors e redirecionar visitantes para sites maliciosos. O plugin Sneeit Framework possui mais de 1.700 instalações ativas, o que aumenta a urgência para que os administradores atualizem para a versão 8.4, que corrige a vulnerabilidade. Além disso, o artigo menciona outra exploração em andamento, relacionada ao ICTBroadcast, que também apresenta riscos significativos.

Uma vulnerabilidade crítica, identificada como CVE-2025-8489, foi descoberta no plugin King Addons para Elementor, utilizado em mais de 10.000 sites WordPress. Com uma pontuação CVSS de 9.8, essa falha permite que atacantes não autenticados obtenham privilégios administrativos ao se registrarem como usuários com a função de administrador. A vulnerabilidade afeta as versões do plugin entre 24.12.92 e 51.1.14 e foi corrigida na versão 51.1.35, lançada em 25 de setembro de 2025. O problema reside na função ‘handle_register_ajax()’, que não restringe adequadamente os papéis que os usuários podem registrar. Desde a divulgação pública da falha, a empresa de segurança Wordfence bloqueou mais de 48.400 tentativas de exploração, com ataques ativos registrados desde o final de outubro de 2025. Administradores de sites são aconselhados a atualizar para a versão mais recente do plugin e a auditar seus ambientes em busca de usuários administrativos suspeitos.

O malware GootLoader, conhecido por suas técnicas de ocultação, voltou a ser uma ameaça ativa, conforme relatado pela empresa de cibersegurança Huntress. Desde o final de outubro, foram identificadas três invasões, com duas delas comprometendo o controlador de domínio em apenas 17 horas após a infecção. O GootLoader utiliza uma abordagem inovadora, explorando os comentários em sites WordPress para entregar arquivos encriptados com chaves únicas, utilizando ofuscamento por meio de fontes WOFF2. Isso permite que o malware se esconda em arquivos que parecem legítimos, enganando os usuários.

O malware GootLoader voltou a ser uma ameaça significativa, conforme relatado pela Huntress. Desde 27 de outubro de 2025, foram observadas três infecções, com duas delas resultando em invasões diretas e comprometimento de controladores de domínio em menos de 17 horas após a infecção inicial. A nova versão do GootLoader utiliza fontes WOFF2 personalizadas para ofuscar nomes de arquivos, dificultando a análise estática. O malware explora endpoints de comentários do WordPress para entregar cargas úteis em arquivos ZIP criptografados com XOR, cada um com chaves únicas. Além disso, a técnica de modificação do arquivo ZIP permite que ele se apresente como um arquivo .TXT inofensivo em ferramentas de análise, enquanto na verdade contém um arquivo JavaScript malicioso. O payload JavaScript é projetado para implantar um backdoor chamado Supper, que permite controle remoto e proxy SOCKS5. O uso de anúncios do Google para direcionar vítimas em busca de modelos legais para sites WordPress comprometidos também foi uma tática observada. A evolução do GootLoader demonstra que os atores de ameaças não precisam de exploits sofisticados, mas sim de ferramentas bem ofuscadas que atendem a seus objetivos.

Uma falha crítica foi identificada no tema JobMonster do WordPress, que afeta mais de 5.500 sites. A vulnerabilidade, classificada como CVE-2025-5397, possui uma pontuação de gravidade de 9.8 e permite que hackers acessem contas de administrador sem a devida autenticação. A falha se torna explorável quando a função de login social está ativada, permitindo que invasores se façam passar por usuários legítimos. Para mitigar os riscos, é recomendado que os administradores atualizem imediatamente para a versão 4.8.2 do tema ou desativem a função de login social. Além disso, a autenticação em dois fatores e a troca de senhas são medidas essenciais para aumentar a segurança. A Wordfence, empresa de segurança, já registrou uma onda de ataques utilizando essa vulnerabilidade, o que destaca a necessidade urgente de ações corretivas. O WordPress tem enfrentado um aumento nas tentativas de exploração de suas vulnerabilidades, o que torna a situação ainda mais crítica para os usuários da plataforma.

Uma vulnerabilidade crítica, identificada como CVE-2025-11749, foi descoberta no plugin AI Engine do WordPress, que está ativo em mais de 100 mil sites. Com uma pontuação CVSS de 9.8, a falha permite que atacantes não autenticados recuperem um token de acesso exposto da API REST MCP, concedendo-lhes privilégios administrativos completos nos sites afetados. O problema foi relatado por Emiliano Versini através do programa de recompensas da Wordfence em 4 de outubro de 2025 e corrigido pelo desenvolvedor Jordy Meow na versão 3.1.4, lançada em 19 de outubro de 2025. A vulnerabilidade reside na integração do plugin com o Modelo de Contexto de Protocolo (MCP), que permite que sistemas de IA interajam com o WordPress. As versões até 3.1.3 não incluíram o parâmetro “show_in_index => false” durante o registro da rota REST, expondo endpoints visíveis publicamente. Os proprietários de sites afetados devem atualizar para a versão 3.1.4 ou superior e rotacionar imediatamente o token de acesso MCP para evitar acessos não autorizados.

Uma vulnerabilidade crítica foi identificada no plugin Anti-Malware Security e Brute-Force Firewall do WordPress, afetando mais de 100 mil sites globalmente. A falha, registrada como CVE-2025-11705, permite que atacantes autenticados com acesso básico leiam arquivos arbitrários nos servidores afetados, expondo dados sensíveis como configurações e credenciais de banco de dados. O problema decorre da ausência de uma verificação de autorização na função GOTMLS_ajax_scan(), que exibe resultados de varredura de malware. Apesar de mecanismos de proteção, a implementação falhou em validar corretamente as capacidades dos usuários, permitindo que contas de baixo privilégio contornassem essas salvaguardas. A vulnerabilidade foi descoberta pelo pesquisador Dmitrii Ignatyev e divulgada através do programa de recompensas da Wordfence, resultando em um patch liberado em 15 de outubro de 2025. Administradores de sites devem atualizar imediatamente para a versão 4.23.83 ou posterior para mitigar os riscos. Este incidente destaca a importância de manter versões de plugins atualizadas e monitorar avisos de segurança.

Pesquisadores de segurança da Wordfence analisaram uma nova cepa de malware que utiliza a capacidade de funções variáveis do PHP e cookies para obfuscação sofisticada, dificultando a detecção. Embora a técnica não seja nova, ela evolui constantemente e é prevalente em ataques direcionados a ambientes WordPress. Em setembro de 2025, foram registradas mais de 30.000 detecções desse tipo de malware, todas bloqueadas pelas assinaturas de malware da Wordfence.

O malware se aproveita da funcionalidade de ‘funções variáveis’ do PHP, permitindo que nomes de funções sejam armazenados em variáveis e executados dinamicamente. Isso facilita a execução de comandos arbitrários, tornando a detecção mais difícil, especialmente quando os nomes das funções são construídos de forma dinâmica. Além disso, a análise revelou que esses malwares frequentemente utilizam cookies para acionar a execução de scripts, dependendo da presença de um número específico de cookies e marcadores.

Um recente relatório do Google Threat Intelligence Group (GTIG) revelou que mais de 14.000 sites WordPress foram comprometidos por um grupo de hackers conhecido como UNC5142, que operou entre o final de 2023 e julho de 2025. Este grupo utilizou vulnerabilidades em plugins e temas para implantar um downloader JavaScript chamado CLEARSHOT, que facilitava a distribuição de malware. O uso de tecnologia blockchain para armazenar partes da infraestrutura do ataque aumentou a resiliência do grupo e dificultou as operações de remoção. O malware era distribuído através de páginas de phishing que induziam os usuários a executar comandos maliciosos em seus sistemas, utilizando a técnica de engenharia social chamada ClickFix. As páginas de destino eram frequentemente hospedadas em servidores da Cloudflare e acessadas em formato criptografado, complicando ainda mais a detecção e mitigação do ataque. A combinação de técnicas de ofuscação e a utilização de blockchain tornam este incidente um alerta significativo para a segurança cibernética, especialmente para organizações que utilizam WordPress.

O grupo de ameaças UNC5142, motivado financeiramente, tem explorado contratos inteligentes de blockchain para disseminar malwares como Atomic, Lumma e Vidar, visando sistemas Windows e macOS. Segundo o Google Threat Intelligence Group, essa técnica, chamada ‘EtherHiding’, permite que o código malicioso seja ocultado em blockchains públicas, como a BNB Smart Chain. Desde junho de 2025, cerca de 14.000 páginas da web com JavaScript injetado foram identificadas, indicando um ataque indiscriminado a sites WordPress vulneráveis. O ataque utiliza um downloader JavaScript chamado CLEARSHORT, que baixa o malware em várias etapas, utilizando contratos inteligentes para buscar páginas de aterrissagem maliciosas. As vítimas são induzidas a executar comandos que instalam o malware em seus sistemas. A evolução das táticas do grupo inclui uma arquitetura de três contratos inteligentes, permitindo atualizações rápidas e maior resistência a ações de mitigação. Embora não tenha sido detectada atividade do UNC5142 desde julho de 2025, a técnica de abuso de blockchain representa um risco significativo para a segurança cibernética, especialmente em um cenário onde a tecnologia Web3 está em ascensão.

Uma vulnerabilidade crítica, identificada como CVE-2025-5947, está sendo explorada ativamente por agentes maliciosos, afetando o tema WordPress Service Finder. Essa falha de segurança permite que atacantes não autenticados acessem qualquer conta de usuário, incluindo administradores, comprometendo o controle de sites vulneráveis. A vulnerabilidade se origina de uma falha de validação do valor do cookie do usuário durante uma função de troca de conta, permitindo que um invasor se logue como qualquer usuário. O problema afeta todas as versões do tema até a 6.0 e foi corrigido em 17 de julho de 2025, com a liberação da versão 6.1. Desde 1º de agosto de 2025, foram detectadas mais de 13.800 tentativas de exploração, embora a taxa de sucesso ainda não seja clara. Administradores de sites são aconselhados a auditar suas plataformas em busca de atividades suspeitas e garantir que todos os plugins e temas estejam atualizados.

Pesquisadores de cibersegurança alertam sobre uma campanha maliciosa que visa sites WordPress, injetando JavaScript malicioso para redirecionar usuários a sites suspeitos. A empresa de segurança Sucuri iniciou uma investigação após um de seus clientes relatar que seu site WordPress estava servindo conteúdo JavaScript de terceiros. Os atacantes modificaram um arquivo relacionado ao tema (‘functions.php’), inserindo código que faz referência ao Google Ads para evitar detecção. O código atua como um carregador remoto, enviando requisições HTTP para o domínio ‘brazilc[.]com’, que responde com um payload dinâmico. Este payload inclui um arquivo JavaScript hospedado em ‘porsasystem[.]com’, que realiza redirecionamentos, e um iframe oculto que imita ativos legítimos do Cloudflare. Além disso, um novo kit de phishing, chamado IUAM ClickFix Generator, permite que atacantes criem páginas de phishing personalizáveis, aumentando a eficácia dos ataques. A técnica de ‘cache smuggling’ também foi identificada, permitindo que scripts maliciosos sejam armazenados no cache do navegador sem a necessidade de downloads explícitos. A situação destaca a importância de manter sites WordPress seguros e atualizados, além de reforçar a necessidade de senhas fortes e monitoramento constante.

Uma recente campanha de malware tem comprometido sites WordPress ao injetar funções PHP maliciosas que carregam JavaScript controlado por atacantes, afetando a sessão de todos os visitantes. A violação foi identificada em um pequeno trecho de código adicionado ao arquivo functions.php do tema ativo, mostrando como pequenas modificações podem ter um grande impacto. O código injetado utiliza hooks do WordPress para ser executado em cada carregamento de página, contatando silenciosamente um servidor de comando e controle para baixar cargas maliciosas.

Pesquisadores de cibersegurança descobriram uma campanha sofisticada de malware direcionada ao WordPress, que utiliza dois arquivos backdoor complementares para garantir acesso administrativo persistente a sites comprometidos. O primeiro componente, disfarçado como um plugin legítimo chamado ‘DebugMaster Pro’, cria uma conta de administrador não autorizada com credenciais fixas. Este malware oculta sua presença removendo-se das listagens de plugins e escondendo a nova conta de administrador. O segundo componente, um script chamado ‘wp-user.php’, atua como um mecanismo de segurança que monitora a conta de administrador criada, recriando-a sempre que for removida, garantindo assim o acesso contínuo. Os especialistas recomendam que os administradores de sites WordPress realizem verificações de integridade de arquivos, auditem contas de usuários e implementem sistemas de monitoramento de arquivos para detectar e mitigar essa ameaça. A descoberta ressalta a importância de varreduras de segurança regulares, que devem incluir componentes disfarçados que imitam funcionalidades legítimas do WordPress.

Uma nova campanha de cibercrime, chamada ShadowCaptcha, foi identificada em agosto de 2025, explorando mais de 100 sites WordPress comprometidos. Os atacantes redirecionam visitantes para páginas falsas de verificação CAPTCHA, utilizando táticas de engenharia social para instalar malware, incluindo ladrões de informações, ransomware e mineradores de criptomoedas. A campanha combina engenharia social, uso de binários legítimos e entrega de payloads em múltiplas etapas, visando coletar dados sensíveis e gerar lucros ilícitos. Os ataques começam com a injeção de código JavaScript malicioso em sites WordPress, levando os usuários a páginas falsas que imitam serviços como Cloudflare ou Google. Dependendo das instruções exibidas, os usuários podem ser induzidos a executar comandos maliciosos que resultam na instalação de ransomware ou ladrões de dados. A maioria dos sites afetados está localizada em países como Brasil, Austrália e Itália, e os atacantes provavelmente exploraram vulnerabilidades conhecidas em plugins do WordPress. Para mitigar os riscos, é crucial treinar os usuários sobre campanhas de ClickFix, segmentar redes e manter os sites WordPress atualizados com autenticação multifatorial.

Pesquisadores de segurança da GoDaddy revelaram uma operação sofisticada de um Sistema de Direcionamento de Tráfego (TDS) que utiliza sites WordPress comprometidos para distribuir fraudes de suporte técnico desde 2017. Nomeada Help TDS, essa operação infectou cerca de 10.000 sites WordPress globalmente por meio de um plugin malicioso disfarçado de uma extensão legítima do WooCommerce. A operação se especializa na criação de alertas de segurança falsos do Microsoft Windows, utilizando técnicas avançadas de manipulação de navegador para prender as vítimas em páginas de golpe. Esses alertas falsos empregam funções JavaScript em tela cheia para ocultar elementos de navegação e implementar mecanismos de prevenção de saída, criando a ilusão de avisos de segurança legítimos. O plugin malicioso, denominado ‘woocommerce_inputs’, evoluiu rapidamente, introduzindo funcionalidades de coleta de credenciais e filtragem avançada de tráfego. A versão mais recente, 2.0.0, apresenta um design orientado a objetos e capacidades de atualização autônoma, permitindo que os atacantes mantenham operações persistentes. A operação exemplifica a evolução dos serviços cibernéticos criminosos, que se tornam cada vez mais sofisticados e orientados a serviços, maximizando as taxas de conversão de vítimas por meio de técnicas comprovadas de engenharia social.