Duas vulnerabilidades recém-corrigidas do WordPress estão sendo exploradas ativamente, com ataques começando pouco depois de se tornarem públicas.
As falhas foram batizadas de WP2Shell e são oficialmente catalogadas como CVE-2026-60137 e CVE-2026-63030 (CVE é a sigla em inglês para Common Vulnerabilities and Exposures, o sistema padrão de identificação de falhas de segurança).
De acordo com a Searchlight Cyber, empresa cujos pesquisadores descobriram as falhas, as versões do WordPress afetadas são da 6.9.0 até a 6.9.4 e da 7.0.0 até a 7.0.1.
"O ataque não tem pré-condições e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress, sem plugins", alertou a empresa de segurança.
O WordPress anunciou as correções na sexta-feira, com o lançamento das versões 6.9.5 e 7.0.2.
"Devido à gravidade, a equipe do WordPress.org ativou atualizações forçadas pelo sistema de autoatualização para os sites que executam as versões afetadas", afirmaram os desenvolvedores do WordPress.
A Cloudflare também disponibilizou regras para detectar a exploração e proteger clientes cujas instalações não foram corrigidas imediatamente.
A CVE-2026-60137 é uma falha de alta severidade de injeção de SQL (Structured Query Language, a linguagem padrão usada para consultar bancos de dados) e a CVE-2026-63030 é uma vulnerabilidade crítica de execução arbitrária de código. Encadeando as duas falhas, um atacante consegue executar código de forma remota e sem autenticação em sites WordPress afetados. Agentes maliciosos podem explorar essas vulnerabilidades para assumir o controle dos sites visados.
Embora a Searchlight Cyber não tenha tornado públicos detalhes para evitar abusos, provas de conceito (PoC, do inglês Proof of Concept) de exploits já foram publicadas por terceiros.
WP2Shell explorado em ambiente real
A exploração em ambiente real das vulnerabilidades WP2Shell foi confirmada por diversas empresas de cibersegurança. Uma delas é a Patchstack, companhia especializada em segurança do WordPress.
A Hexastrike começou a identificar tentativas de exploração em seus honeypots (sistemas usados como armadilha para detectar ataques) durante o fim de semana e, no domingo, a empresa afirmou que já havia auxiliado na resposta a incidentes em diversos ataques. A Hexastrike compartilhou algumas recomendações para detectar e investigar as intrusões.
A WatchTowr também identificou tentativas de exploração em ambiente real.
"Isso vai doer", disse ao SecurityWeek o CEO e fundador da empresa, Benjamin Harris. "O WordPress roda em centenas de milhões de sites em todo o mundo. Alguns serão corrigidos automaticamente pelos seus provedores de hospedagem, mas muitos não serão, e é aí que o estrago será feito."
Harris acrescentou: "Este é mais um exemplo de uma tendência clara de vulnerabilidades sendo descobertas com o apoio de ferramentas de inteligência artificial, representando uma mudança significativa tanto na forma como o nosso setor encontra essas falhas quanto na rapidez com que os atacantes as transformam em armas. Vimos provas de conceito surgirem em poucas horas após a divulgação, quando, historicamente, isso levaria 24 horas ou mais. A janela entre a divulgação e a exploração simplesmente encolheu, e o WordPress é apenas o lembrete de hoje disso."
