Exploits públicos liberados para cadeia de RCE pré-autenticação no WordPress que afeta 500 milhões de sites

Pesquisadores de segurança divulgaram provas de conceito públicas para uma cadeia crítica de duas falhas no WordPress Core — apelidada de wp2shell — que permite que um atacante não autenticado execute código remotamente em qualquer instalação padrão do WordPress, sem nenhum pré-requisito. O WordPress estima que mais de 500 milhões de sites rodam em sua plataforma, tornando esta uma das vulnerabilidades web de maior impacto divulgadas este ano.

A cadeia de falhas foi descoberta por Adam Kues, da Searchlight Cyber. O comunicado da empresa é direto: "O ataque não tem pré-condições e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress, sem plugins."

Dois bugs independentes, uma cadeia devastadora

O ataque wp2shell combina duas vulnerabilidades distintas:

CVE-2026-63030 é uma falha de confusão de rotas em lote na REST API, introduzida no WordPress 6.9. O bug permite que um atacante manipule como o WordPress processa requisições de API em lote, criando uma base para o segundo estágio do ataque.

CVE-2026-60137 é uma vulnerabilidade de SQL injection no parâmetro author__not_in da classe principal WP_Query do WordPress. Sozinha, ela afeta o WordPress 6.8 e versões posteriores — mas sem a falha na REST API do 6.9, não pode ser elevada para execução de código. Juntas, as duas falhas formam uma cadeia que dá ao atacante um shell no servidor.

A cadeia completa de RCE afeta WordPress 6.9.0 até 6.9.4 e WordPress 7.0.0 até 7.0.1. Sites ainda na versão 6.8.x estão vulneráveis a SQL injection, mas não à cadeia completa de RCE.

Exploração ativa já confirmada

Após a Searchlight Cyber atrasar a publicação de detalhes técnicos para dar tempo aos administradores de aplicar os patches, várias provas de conceito surgiram no GitHub. Algumas extraem hashes de senhas do WordPress via SQL injection e quebram a senha de um administrador para enviar um plugin malicioso. Outras — mais alinhadas com o que a Searchlight Cyber descreveu — afirmam alcançar RCE completa sem autenticação, sem precisar de nenhuma credencial.

A empresa de segurança watchTowr confirmou que já observou exploração ativa após a divulgação pública do exploit.

Patches, atualizações forçadas e proteções WAF

A equipe de segurança do WordPress já agiu. As versões WordPress 7.0.2 e 6.9.5 contêm as correções, e a equipe do WordPress.org ativou atualizações automáticas forçadas para todas as instalações suportadas que rodam versões afetadas — ou seja, a maioria dos sites gerenciados pelo wordpress.org será atualizada sem ação do administrador.

A Cloudflare também implantou regras de Web Application Firewall bloqueando tentativas de exploração de ambas as CVEs em todos os planos, incluindo contas gratuitas que utilizam sua plataforma como proxy. A empresa fez questão de notar, no entanto, que a proteção WAF "não substitui a aplicação de patches."

O que fazer agora

A ação prioritária é direta: atualizar imediatamente para WordPress 7.0.2 ou 6.9.5. Para sites que não podem atualizar de imediato, a Searchlight Cyber recomenda instalar um plugin que bloqueie completamente o acesso anônimo à REST API, ou bloquear as rotas /wp-json/batch/v1 e ?rest_route=/batch/v1 no nível do WAF ou do servidor web. A empresa também lançou o wp2shell.com, uma ferramenta gratuita que permite que administradores verifiquem se sua instalação ainda está vulnerável.

Considerando que explorações públicas estão circulando e a exploração ativa foi confirmada, esta não é uma situação de "aplicar patch em 30 dias". Os administradores do WordPress que ainda não atualizaram devem tratar isso como uma tarefa de resposta a incidentes para o mesmo dia.