Duas vulnerabilidades no núcleo do WordPress, combinadas na cadeia batizada de wp2shell, estão sob exploração ativa e exigem atualização imediata. As falhas CVE-2026-63030 e CVE-2026-60137, encadeadas como wp2shell, permitem execução remota de código em instalações do WordPress que ainda não foram atualizadas. A CISA adicionou os dois CVEs ao catálogo de vulnerabilidades conhecidas e exploradas (KEV) em 21 de julho de 2026, e o WordPress.org forçou atualizações automáticas — mas sites com auto-update desligado seguem expostos a tentativas em massa já confirmadas por pesquisadores.
Como o wp2shell funciona
A cadeia reúne duas falhas distintas que, isoladas, parecem limitadas, mas juntas escalam para comprometimento total do servidor. A primeira, CVE-2026-60137 (CVSS 9,1), é uma injeção de SQL facilitada no recurso interno de consulta de posts (WP_Query), na opção que exclui autores (author__not_in). Quando um plugin ou tema repassa entrada externa sem validação para essa opção, o atacante consegue injetar comandos SQL no banco de dados do site.
A segunda, CVE-2026-63030, é uma confusão de rota no endpoint de operações em lote da REST API. Encadeada com a injeção de SQL, a confusão de rota permite contornar o caminho que exigiria login, executar a injeção sem autenticação e alcançar execução de código no servidor, sem plugins adicionais e sem mudança de configuração. Por atingir o núcleo do WordPress, e não um plugin específico, a falha afeta praticamente qualquer instalação nas versões vulneráveis.
Em ambientes de produção, a execução remota de código no servidor do WordPress significa que o atacante pode ler ou alterar o banco de dados, instalar extensões maliciosas, criar contas de administrador persistentes, desfigurar páginas, redirecionar visitantes a sites falsos e roubar dados de clientes ou pedidos. Como o controle obtido é total, a falha também permite usar o servidor comprometido como ponto de partida para ataques a outros sistemas da organização.
CISA adiciona falhas ao KEV
Em 21 de julho de 2026, a CISA incluiu os dois CVEs no catálogo Known Exploited Vulnerabilities, o KEV, com prazos curtos de correção. O registro do KEV descreve a CVE-2026-63030 como uma vulnerabilidade de conflito de interpretação (interpretation conflict) que permite injeção de SQL e execução remota de código, podendo ser encadeada com a CVE-2026-60137. A inclusão no KEV confirma exploração real, e não apenas teórica.
Os prazos da CISA são curtos: a remediação da CVE-2026-63030 deveria ocorrer até 24 de julho e a da CVE-2026-60137 até 4 de agosto de 2026. Embora o KEV vincule apenas agências civis federais dos Estados Unidos, a CISA recomenda que toda organização trate os itens do catálogo como prioridade de correção. É incomum que uma falha no próprio núcleo do WordPress entre no KEV; entradas anteriores relacionadas ao WordPress costumavam envolver plugins, o que torna o alcance potencial do wp2shell muito maior, já que atinge a base compartilhada por quase todos os sites construídos na plataforma.
| CVE | Tipo | CVSS | Versões afetadas | Correção |
|---|---|---|---|---|
| CVE-2026-60137 | Injeção de SQL no WP_Query (author__not_in) | 9,1 | 6.8 a 7.0 | 6.8.6 / 6.9.5 / 7.0.2 |
| CVE-2026-63030 | Confusão de rota na REST API em lote | 7,5 (9,8 em cadeia) | 6.9 a 7.0 | 6.9.5 / 7.0.2 |
Como atualizar o WordPress
As versões corrigidas são WordPress 7.0.2, 6.9.5 e 6.8.6, liberadas em 17 de julho de 2026, e o projeto ativou a atualização automática forçada nas instalações afetadas. Versões anteriores a 6.8 não são afetadas. O procedimento recomendado para corrigir e validar:
- Verifique a versão instalada no painel em Painel → Atualizações.
- Atualize para 7.0.2 (linha 7.0), 6.9.5 (linha 6.9) ou 6.8.6 (linha 6.8).
- Confirme se a auto-atualização está ativa; o WordPress.org forçou o envio da versão corrigida para instalações afetadas.
- Faça backup do banco de dados e dos arquivos antes de atualizar ambientes de produção.
- Se não puder atualizar de imediato, bloqueie o acesso anônimo ao endpoint /wp-json/batch/v1 no servidor web ou no WAF — medida temporária, pois pode quebrar integrações que usem o endpoint.
Sinais de comprometimento
Sites que permaneceram desatualizados podem já ter sido comprometidos, porque a exploração em massa começou horas depois da divulgação. A telemetria de segurança registrou dezenas de milhares de tentativas e mais de cem contas de administrador criadas de forma fraudulenta por atacantes distintos. Pontos de verificação para detectar invasão:
- Contas de administrador desconhecidas criadas recentemente.
- Alterações não autorizadas em posts, temas ou arquivos do sistema.
- Novos usuários com privilégios elevados sem justificativa.
- Plugins ou temas instalados sem registro de ação legítima.
- Tráfego de saída suspeito ou conexões para servidores desconhecidos.
O wp2shell reforça um padrão de falhas críticas recentes que exigem resposta imediata, ao lado do zero-day do VS Code que rouba tokens do GitHub e do RCE sem autenticação no ScadaBR. Para ambientes comprometidos, a recomendação é restaurar a partir de um backup limpo, atualizar imediatamente e conduzir uma investigação forense para confirmar a extensão do acesso antes de devolver o site ao ar.