A CISA adicionou a vulnerabilidade CVE-2026-60137 no WordPress Core ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) em 21 de julho de 2026, fixando o prazo final de remediação para 4 de agosto de 2026. A falha de injeção SQL no parâmetro author__not_in da classe WP_Query afeta todas as instalações entre as versões 6.8 e 7.0.1 e pode ser encadeada com uma segunda vulnerabilidade da REST API para resultar em execução remota de código sem autenticação prévia.
Versões afetadas e correções
A vulnerabilidade foi corrigida em três versões de segurança lançadas simultaneamente em 17 de julho de 2026. O WordPress 6.8.6 corrige apenas a falha de SQL injection, enquanto as versões 6.9.5 e 7.0.2 resolvem tanto a injeção SQL quanto o problema de confusão de rota da REST API que permite a cadeia completa de exploração. Versões anteriores à 6.8 não são afetadas.
| Ramo do WordPress | Estado | Versão corrigida |
|---|---|---|
| 6.8.0 – 6.8.5 | Vulnerável (SQL injection isolado) | 6.8.6 |
| 6.9.0 – 6.9.4 | Vulnerável (cadeia com RCE) | 6.9.5 |
| 7.0.0 – 7.0.1 | Vulnerável (cadeia com RCE) | 7.0.2 |
| Anterior a 6.8 | Não afetada | — |
A equipa do WordPress.org ativou a atualização automática forçada para sites que suportam atualizações em segundo plano. Administradores que desativaram esse recurso precisam atualizar manualmente pelo painel: separador “Atualizações” → “Atualizar agora”. Em todos os casos, é necessário confirmar que a versão ativa corresponde a 6.8.6, 6.9.5 ou 7.0.2.
Como ocorre o ataque
O problema técnico reside na classe WP_Query, componente central responsável por recuperar conteúdo da base de dados do WordPress. O parâmetro author__not_in não é devidamente sanitizado quando um plugin ou tema repassa entrada externa não confiável diretamente para ele, permitindo que um atacante manipule a consulta SQL gerada pelo núcleo do sistema.
Sozinha, a falha exige que um plugin ou tema vulnerável passe dados não confiáveis ao parâmetro afetado, o que explica a classificação de severidade moderada (CVSS 5,9) atribuída pela WPScan como CNA original. Contudo, em instalações das versões 6.9 e superiores, a injeção pode ser combinada com a CVE-2026-63030, uma falha de confusão de rota no endpoint de lote da REST API, para alcançar execução remota de código sem necessidade de credenciais. O CISA atribuiu à cadeia completa a pontuação CVSS 9,1 na escala do ADP, classificada como crítica.
A falha foi descoberta e reportada de forma responsável por uma equipa de três investigadores — TF1T, dtro e haongo — enquanto o problema da REST API foi identificado por Adam Kues, da empresa Assetnote / Searchlight Cyber. A gravidade combinada motivou o WordPress a classificar o lançamento como crítico.
Ameaça confirmada no KEV
A inclusão no catálogo KEV não é meramente informativa: significa que a CISA confirmou exploração ativa na natureza. A avaliação SSVC conduzida pela agência classifica o vetor com exploração ativa, automação positiva e impacto técnico total, colocando a CVE-2026-60137 no nível mais alto de prioridade de remediação.
O prazo de 4 de agosto de 2026 aplica-se formalmente às agências federais civis sujeitas à diretriz BOD 26-04, mas organizações privadas devem tratar a mesma urgência. A CISA exige aplicação das mitigações de acordo com as instruções do fabricante, cumprimento da triagem forense e avaliação da exposição de cada ativo à internet. Para contexto sobre outras falhas recentemente adicionadas ao KEV que afetam infraestrutura corporativa, consulte a análise da CVE-2026-58644 no SharePoint e o caso de exploração rápida do Langflow.
Plano de resposta imediata
Organizações que operam WordPress exposto à internet devem executar os passos abaixo sem demora:
- Atualizar imediatamente para 6.8.6, 6.9.5 ou 7.0.2, conforme o ramo em uso. Verificar se a atualização automática foi aplicada com sucesso.
- Auditar plugins e temas que utilizam o parâmetro
author__not_inou processam entrada de usuário em consultas WP_Query. Desativar temporariamente componentes suspeitos. - Verificar indícios de comprometimento: contas de administrador não reconhecidas, ficheiros PHP inesperados em diretórios de media e alterações não autorizadas na base de dados.
- Implementar regras de WAF que bloqueiem padrões de injeção SQL no tráfego direcionado a endpoints da REST API e a parâmetros de consulta do WordPress.
- Preservar evidências: se houver indicação de exploração, guardar registos, realizar a triagem forense conforme o BOD 26-04 e acionar a equipa de resposta a incidentes.
A janela entre a divulgação do patch em 17 de julho e o prazo final da CISA em 4 de agosto concede apenas 18 dias para remediação completa. Sites não atualizados após essa data ficam expostos a exploração ativa confirmada por atacantes que já operam contra o vetor.