Falhas no Avada Builder expõem 1 milhão de sites WordPress

Duas vulnerabilidades críticas no plugin Avada Builder para WordPress, com aproximadamente um milhão de instalações ativas, colocam em risco a segurança de sites em todo o mundo. As falhas, identificadas como CVE-2026-4782 e CVE-2026-4798, permitem a leitura arbitrária de arquivos do servidor e a extração de informações sensíveis do banco de dados sem necessidade de autenticação.

Entendendo o risco: leitura arbitrária e injeção de SQL

A primeira vulnerabilidade, CVE-2026-4782, afeta todas as versões do plugin até a 3.15.2. Ela pode ser explorada por usuários autenticados com nível mínimo de acesso de assinante para ler o conteúdo de qualquer arquivo do servidor, incluindo o sensível wp-config.php, que armazena credenciais do banco de dados e chaves criptográficas. Isso pode resultar em seqüestro total do site e roubo de contas administrativas.

Já a segunda falha, CVE-2026-4798, é uma vulnerabilidade de injeção SQL (SQL Injection) que pode ser explorada mesmo sem autenticação. De acordo com o relatório, a exploração ocorre quando um site habilita e posteriormente desativa o plugin WooCommerce, mantendo suas tabelas no banco de dados. Nesse cenário, atacantes podem obter informações como hashes de senhas e dados confidenciais diretamente do banco de dados.

Descoberta e divulgação responsável do Avada Builder

As falhas foram descobertas pelo pesquisador de segurança Rafie Muhammad e reportadas por meio do Wordfence Bug Bounty Program. A empresa Wordfence, especializada em segurança para WordPress, explicou que o problema na leitura arbitrária de arquivos está relacionado ao parâmetro custom_svg na função de renderização de shortcodes do plugin, que não valida corretamente o tipo ou a origem dos arquivos solicitados. Esse comportamento permite o acesso a diretórios internos sensíveis.

“O acesso indevido ao arquivo wp-config.php pode comprometer toda a infraestrutura do site, incluindo credenciais administrativas, chaves de API e tokens de autenticação.”

Wordfence Security Bulletin, maio 2026

A vulnerabilidade de injeção SQL é classificada como média gravidade, porém de alto impacto em ambientes mal configurados. Ela surge porque o parâmetro product_order é inserido diretamente em uma cláusula ORDER BY de consultas SQL sem a devida preparação, permitindo manipulações que levam à leitura de informações de tabelas internas do banco de dados.

Impacto na comunidade WordPress

Com mais de 40% da web rodando em WordPress, a comunidade de desenvolvedores e administradores reagiu com preocupação ao anúncio. O Avada Builder é um dos construtores de páginas mais populares do ecossistema, amplamente utilizado por profissionais de marketing digital e designers sem conhecimento avançado de código. A vulnerabilidade ampliou o debate sobre a necessidade de auditorias de segurança mais frequentes em plugins de grande base instalada.

Cronologia dos patches de segurança

1. 21 de março de 2026 – Vulnerabilidades submetidas ao programa Wordfence;
2. 24 de março de 2026 – Notificação enviada aos desenvolvedores do Avada Builder;
3. 13 de abril de 2026 – Lançamento da versão parcial 3.15.2 com correção inicial;
4. 12 de maio de 2026 – Publicação da versão 3.15.3, que contém o patch completo.

Os usuários afetados devem atualizar imediatamente seus sites para a versão 3.15.3. Segundo a Wordfence, o atraso em aplicar a correção pode deixar a instalação vulnerável a ataques em larga escala, especialmente por meio de bots que exploram brechas conhecidas em sites desatualizados.

Como se proteger dessas falhas de Avada Builder

• Atualize o Avada Builder para a versão 3.15.3 ou superior;
• Mantenha o WordPress e todos os plugins sempre atualizados;
• Desative o registro de novos usuários, se desnecessário, para reduzir riscos de exploração autenticada;
• Use ferramentas de detecção de vulnerabilidades como o Wordfence Premium ou o WPScan;
• Verifique logs de acesso em busca de solicitações suspeitas envolvendo custom_svg;
• Faça backup completo antes e depois de aplicar atualizações críticas.

“Administradores que dependem de construtores visuais devem compreender que desempenho e segurança caminham juntos. Um plugin vulnerável compromete toda a cadeia do site.”

Rafie Muhammad, pesquisador de segurança

Contexto e outros casos similares

O incidente do Avada Builder se soma a uma série de vulnerabilidades recentes em plugins WordPress populares, como o Ninja Forms e o Burst Statistics, ambos explorados para obtenção de credenciais e controle de sites. Esses episódios reforçam a importância das boas práticas de segurança cibernética e da adoção de patch management proativo em ambientes digitais baseados na plataforma.

Recomendações para desenvolvedores e administradores

Além da atualização imediata, especialistas sugerem revisar a infraestrutura de hospedagem e implementar medidas adicionais, como o uso de Application Firewalls e autenticação multifator. Organizações que operam lojas online WordPress com WooCommerce devem auditar o banco de dados antes de reativar ou desinstalar plugins, garantindo que vestígios de tabelas não exponham vulnerabilidades futuras.

Considerações finais

O caso do Avada Builder reforça a realidade de que a segurança em plataformas abertas como o WordPress depende da integração entre desenvolvedores, comunidades e administradores. A rápida atuação da Wordfence e a divulgação transparente do CVE ajudam a mitigar o impacto, mas a responsabilidade final ainda recai sobre quem mantém o ambiente. Atualizar, auditar e adotar políticas de defesa em profundidade são ações indispensáveis para garantir a integridade digital.