O CVE-2026-60137 é uma vulnerabilidade de injeção de SQL no parâmetro author__not_in da classe WP_Query do WordPress Core, adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da CISA em 21 de julho de 2026 com prazo de remediação em 4 de agosto de 2026. A falha afeta as versões 6.8.0 a 6.8.5, 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1 do WordPress, e quando combinada com o CVE-2026-63030 — uma confusão de rota em lote na REST API — permite execução remota de código sem autenticação, conforme documenta o advisory oficial do projeto. As versões corrigidas são WordPress 6.8.6, 6.9.5 e 7.0.2, lançadas em 17 de julho de 2026. A descoberta e divulgação responsável foram realizadas pelos pesquisadores TF1T, dtro e haongo.

O que o CVE-2026-60137 explora

O defeito está no fato de o WordPress não sanitizar corretamente o parâmetro author__not_in da classe WP_Query, projetada para receber um array de identificadores numéricos de autores e excluir seus posts das consultas. A REST API pública expõe o parâmetro author_exclude, que é mapeado internamente para author__not_in. Quando um plugin ou tema repassa entrada não confiável a esse parâmetro, texto SQL pode alcançar uma cláusula NOT IN (...) sem parametrização, permitindo a manipulação arbitrária de resultados do banco de dados. O registro NVD classifica a falha como CWE-89 (improper neutralization of special elements used in an SQL Command), e a pontuação CVSS 3.1 atribuída pela CISA-ADP é 9.1 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. O CNA WPScan atribuiu pontuação 5.9 (média), refletindo a severidade isolada da injeção de SQL sem a cadeia completa de execução remota de código.

Versões afetadas e correções

Ramo afetado Versão corrigida Impacto isolado
6.8.0 a 6.8.5 6.8.6 Injeção de SQL apenas
6.9.0 a 6.9.4 6.9.5 Injeção de SQL + RCE sem autenticação
7.0.0 a 7.0.1 7.0.2 Injeção de SQL + RCE sem autenticação

O WordPress habilitou atualizações forçadas (forced updates) imediatamente após o lançamento das versões corrigidas em 17 de julho de 2026. As versões 6.8.x continham apenas o componente de injeção de SQL, enquanto as versões 6.9.x e 7.0.x também apresentam o defeito de confusão de rota em lote da REST API (CVE-2026-63030), necessário para a cadeia completa de execução remota de código. Versões anteriores a 6.8 não são afetadas por nenhuma das duas vulnerabilidades. Essa diferença entre os ramos é determinante: apenas instalações em 6.9.x ou 7.0.x estão sujeitas ao caminho de ataque sem autenticação documentado pela cadeia WP2Shell.

Como ocorre o ataque

A cadeia de ataque foi batizada de WP2Shell por pesquisadores de segurança que analisaram o código vulnerável. O primeiro defeito separa a validação da rota do manipulador que o WordPress acaba executando, permitindo que uma requisição alcance um endpoint interno protegido. O segundo defeito aceita um valor escalar onde WP_Query espera um array de IDs de autor, permitindo que texto SQL alcance uma cláusula não parametrizada. Combinados, esses comportamentos permitem que um atacante manipule resultados do banco de dados, crie um administrador fraudulento e alcance execução de PHP sem uma conta existente ou um plugin adicional vulnerável. A CISA confirmou exploração ativa no registro NVD, marcando o SSVC com exploitation: active, automatable: yes e technicalImpact: total.

Telemetria independente da Wiz Research indicou que 60% das organizações com WordPress no seu conjunto de dados em nuvem tinham ao menos uma instância vulnerável no momento da divulgação, e 25% expunham um servidor vulnerável à internet. Dentro de 24 horas após as atualizações forçadas, esses percentuais caíram para 50% e 10%, respectivamente. Esses números descrevem o conjunto de dados da Wiz, não o ecossistema WordPress completo.

Sinais de comprometimento

Sites que estiveram expostos antes da aplicação do patch devem ser inspecionados em busca de indicadores comportamentais. Os principais sinais de comprometimento incluem criação de contas de administrador não autorizadas — especialmente com datas próximas ao período de exposição —, uploads de plugins ou temas não identificados no diretório wp-content, alterações inesperadas em arquivos do núcleo do WordPress, consultas anômalas na tabela de usuários do banco de dados e tráfego de saída não habitual a partir do servidor. Qualquer administrador fraudulento confirmado deve ser tratado como comprometimento total da plataforma.

Passos de remediação

  1. Atualize o WordPress Core para 6.8.6, 6.9.5 ou 7.0.2, conforme o ramo em uso.
  2. Confirme a aplicação da atualização forçada em Dashboard > Atualizações ou Ferramentas > Saúde do Site > Informações.
  3. Audite contas de administrador e remova qualquer conta não autorizada.
  4. Inspecione wp-content/plugins e wp-content/themes em busca de arquivos desconhecidos.
  5. Mantenha um firewall de aplicação web (WAF) ativo como controle compensatório, sem substituir o patch do núcleo.
  6. Revise logs de acesso e consultas de banco de dados seguindo práticas de monitoramento de logs na defesa digital.

A presença no KEV da CISA torna a remediação obrigatória para órgãos governamentais federais dos Estados Unidos e serve como referência de prioridade para qualquer organização que opere WordPress exposto à internet. O histórico de aplicação de patches críticos dentro de janelas definidas é indicador operacional relevante, conforme orientações sobre LGPD e cibersegurança. A resposta a vulnerabilidades com exploração ativa confirmada, como o CVE-2026-58644 no SharePoint, demonstra que a correção deve ser acompanhada de triagem forense para detectar comprometimento prévio.

Fontes