Falhas críticas no WordPress já são exploradas por hackers e deixam milhões de sites expostos a invasões em versões vulneráveis

Duas falhas críticas corrigidas recentemente no WordPress já estão sendo usadas por hackers para invadir sites que continuam sem atualização. Empresas de cibersegurança confirmaram que os ataques já estão em andamento.

As vulnerabilidades afetam versões específicas da plataforma e, quando combinadas, podem permitir que invasores assumam o controle remoto completo dos sites.

O alerta foi emitido poucos dias depois de o WordPress disponibilizar correções para as duas falhas e recomendar que administradores atualizassem seus sites “imediatamente”. Em instalações compatíveis, a plataforma também ativou atualizações automáticas para acelerar a distribuição dos patches.

Empresas de pesquisa em cibersegurança, como Patchstack, Hexastrike e WatchTowr, identificaram que criminosos já exploram as vulnerabilidades contra sites que permanecem nas versões afetadas.

Quantos sites ainda podem estar expostos?

As falhas atingem as versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1 do WordPress. Estatísticas oficiais da plataforma indicam que mais de 400 milhões de sites utilizavam essas versões, embora esse número provavelmente inclua instalações que já receberam a atualização.

O consultor de cibersegurança Daniel Card analisou uma amostra de aproximadamente 4.200 sites e concluiu que menos de 15% ainda estariam vulneráveis. Se essa estimativa refletir o universo de instalações do WordPress, cerca de 90 milhões de sites continuariam suscetíveis aos ataques.

Segundo o pesquisador, alguns fatores têm ajudado a reduzir esse total:

• Atualizações automáticas distribuídas pelo WordPress;
• Bloqueios de ataques realizados pela Cloudflare;
• Uso de firewalls e outras soluções de proteção;
• Correções já aplicadas pelos administradores dos sites.

Duas falhas juntas ampliam o risco

Uma das vulnerabilidades foi descoberta por Adam Kues, da empresa de cibersegurança Searchlight Cyber. O pesquisador deu à brecha o nome de “WP2Shell“.

Segundo Kues, quando essa vulnerabilidade é combinada com a segunda falha corrigida pelo WordPress, invasores conseguem assumir o controle remoto completo dos sites afetados.

Com os ataques em andamento, sites que continuam executando versões vulneráveis do WordPress seguem expostos às brechas. A orientação da plataforma é instalar as atualizações mais recentes para corrigir as falhas.