Uma vulnerabilidade crítica no núcleo do WordPress foi divulgada em julho de 2026 e já é tratada como uma das falhas mais graves dos últimos anos. Apelidada de wp2shell pela comunidade de segurança, ela permite que um invasor, sem precisar de login ou senha, assuma o controle administrativo completo de um site vulnerável. Se você administra um site nessa plataforma, entender essa falha e corrigir seu site agora é essencial.
O que é a vulnerabilidade wp2shell
A falha é identificada oficialmente como CVE-2026-63030 e foi publicada em um alerta de segurança em 17 de julho de 2026. O problema está na forma como o endpoint de lote (batch) da REST API do WordPress interpreta rotas internas. Combinada a uma segunda falha, a CVE-2026-60137, relacionada à sanitização incorreta do parâmetro author__not_in usado pelo WP_Query, o conjunto permite que um atacante execute uma injeção de SQL e, a partir dela, crie uma conta de administrador e execute código remotamente no servidor. Na prática, isso significa controle total do site, sem que o invasor precise conhecer usuário ou senha.
Quais versões do WordPress estão vulneráveis
De acordo com os registros oficiais da vulnerabilidade, estão expostas as instalações que utilizam:
- WordPress 6.8.x anterior à versão 6.8.6
- 6.9.x anterior à versão 6.9.5
- 7.0.x anterior à versão 7.0.2
A equipe de segurança do WordPress já lançou a versão 7.0.2, que corrige as duas falhas ao mesmo tempo.
Por que essa falha é considerada tão grave
Diferente de vulnerabilidades que exigem engenharia social ou acesso prévio à conta, esta pode ser explorada remotamente e sem qualquer autenticação, o que a torna atraente para ataques automatizados em massa. Órgãos de segurança classificaram o conjunto de falhas com gravidade próxima do máximo, justamente por combinar baixa complexidade de exploração com altíssimo impacto. Como o WordPress move uma parcela expressiva de todos os sites da internet, o volume de páginas potencialmente expostas é enorme, incluindo lojas virtuais, blogs corporativos e sites institucionais que muitas vezes ficam sem atualização por longos períodos.
Como saber se o seu site está em risco
O primeiro passo é verificar a versão do WordPress instalada, disponível no painel administrativo, em Painel de Controle > Atualizações. Se a versão for anterior a 6.8.6, 6.9.5 ou 7.0.2, o site está exposto e precisa ser atualizado imediatamente. Vale lembrar que muitos sites são mantidos por terceiros ou ficam sem manutenção após a entrega do projeto, o que aumenta bastante a chance de estarem desatualizados.
Como proteger o seu site agora
- Atualize o WordPress para a versão mais recente disponível
- Atualize também todos os plugins e temas instalados
- Ative atualizações automáticas para versões de segurança
- Utilize um firewall de aplicação web (WAF), como os oferecidos por serviços de CDN e segurança
- Faça backups completos e regulares, armazenados fora do servidor principal
- Monitore o site em busca de usuários administrativos ou arquivos que você não reconheça
- Procure ajuda profissional para uma auditoria de segurança caso não tenha certeza sobre o estado do site
Manutenção preventiva evita esse tipo de exposição
Falhas como a wp2shell reforçam por que a manutenção contínua de um site não é um luxo, e sim uma necessidade. Manter o núcleo, os plugins e os temas sempre atualizados, aliado a um monitoramento constante, é a forma mais eficaz de reduzir a superfície de ataque. Empresas que tratam o site apenas como algo que foi entregue e está pronto tendem a ser justamente as mais vulneráveis quando uma falha crítica como essa é divulgada.
A wp2shell é um lembrete de que a segurança de um site WordPress depende de cuidado constante, não apenas da escolha da plataforma. Atualizar o quanto antes, revisar plugins pouco utilizados e manter uma rotina de backups são atitudes simples que evitam prejuízos muito maiores do que o tempo investido em mantê-las.