Falhas no WordPress expõem milhões de sites

Hackers já exploram falhas no WordPress corrigidas recentemente, colocando milhões de sites em risco de invasão e controle remoto. O alerta envolve duas vulnerabilidades críticas no software de código aberto usado para criar blogs, lojas e portais. A correção foi publicada na última semana, mas empresas de cibersegurança afirmam que ataques já ocorrem contra instalações desatualizadas.

Segundo a apuração do TechCrunch, as versões vulneráveis incluem WordPress 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1. A orientação é atualizar imediatamente para a versão corrigida. O projeto WordPress chegou a ativar atualizações forçadas quando possível, sinal de que o risco é considerado severo.

Quais versões do WordPress estão vulneráveis?

As falhas no WordPress afetam instalações que ainda rodam versões 6.9.0, 6.9.1, 6.9.2, 6.9.3, 6.9.4, 7.0.0 ou 7.0.1. A correção foi distribuída no pacote WordPress 7.0.2, divulgado com pedido para que administradores de sites atualizem “imediatamente”.

Exploração já ocorre “in the wild”

Empresas como Patchstack, Hexastrike e WatchTowr alertaram que hackers exploram as vulnerabilidades em ambientes reais, não apenas em testes de laboratório. Em segurança digital, isso significa que sites desatualizados podem ser invadidos enquanto continuam online.

Uma das falhas no WordPress foi identificada por Adam Kues, da Searchlight Cyber, e recebeu o nome WP2Shell. Combinada com outra brecha crítica, ela pode permitir que invasores assumam o controle remoto completo de sites vulneráveis.

Quantos sites podem estar em risco com as falhas no WordPress?

Não há um número fechado. Estatísticas oficiais do WordPress indicam mais de 400 milhões de sites usando versões afetadas, mas esse dado pode incluir páginas que já foram atualizadas depois da correção.

O consultor de cibersegurança Daniel Card analisou uma amostra de cerca de 3.500 sites WordPress e estimou que menos de 15% ainda estavam vulneráveis. Ao aplicar essa proporção ao universo de sites WordPress na internet, a projeção ficaria em torno de 90 milhões de instalações expostas.

Atualizações automáticas e Cloudflare reduzem ataques

Card atribuiu a quantidade menor de sites exploráveis a três fatores: atualizações automáticas do WordPress, bloqueios aplicados pela Cloudflare e uso de firewalls de aplicação web. Essas camadas não eliminam o problema, mas dificultam a exploração em massa das falhas no WordPress.

“Todos os sites hospedados pela Automattic, incluindo WordPress.com, Pressable, WPVIP e parceiros WP.cloud, estavam protegidos antes mesmo do lançamento.”

Megan Fox, porta-voz da Automattic, ao TechCrunch

A Automattic, empresa por trás do WordPress.com e colaboradora do projeto de código aberto, afirmou que aplicou as correções imediatamente em milhões de sites. Já o WordPress.org, responsável pelo projeto open source, não respondeu ao pedido de comentário citado pela reportagem original.

O que administradores devem fazer agora?

1. Verifique a versão instalada no painel do WordPress.
2. Atualize imediatamente para a versão corrigida mais recente.
3. Confirme se plugins, temas e hospedagem também estão atualizados.
4. Ative firewall de aplicação web e regras contra exploração.
5. Revise usuários administradores, logs e arquivos modificados.
6. Faça backup limpo antes e depois da atualização.

Se o site roda uma das versões vulneráveis, a atualização deve ser tratada como urgente, pois hackers já exploram falhas no WordPress em ambientes reais.

Por que as falhas no WordPress são graves?

O WordPress é uma das plataformas mais usadas da web. Por isso, qualquer brecha crítica ganha escala rapidamente. Um invasor que obtém controle remoto pode alterar páginas, instalar backdoors, redirecionar visitantes, roubar dados ou usar o servidor em campanhas de malware.

Para pequenas empresas, blogs independentes e lojas online, o impacto pode ir além da indisponibilidade. Uma invasão pode afetar reputação, ranqueamento em buscas, integridade de pagamentos e confiança de clientes.

Considerações finais

As falhas no WordPress mostram como atualizações rápidas são essenciais em plataformas populares. Embora atualizações automáticas, Cloudflare e firewalls reduzam o risco, sites desatualizados continuam na mira. Administradores devem corrigir a instalação, revisar sinais de invasão e manter uma rotina contínua de segurança.