Especialistas em segurança digital confirmaram que uma vulnerabilidade crítica descoberta no plugin Elementor Pro, ferramenta de construção de páginas usada por mais de 6 milhões de sites WordPress ativos, já está sendo explorada ativamente por criminosos. A falha permite que invasores sem qualquer autenticação enviem arquivos maliciosos, incluindo scripts PHP executáveis, para dentro de sites vulneráveis, abrindo caminho para execução remota de código e a tomada completa do controle da plataforma.
A brecha foi divulgada publicamente em 19 de agosto de 2026 pela equipe da Wordfence, empresa especializada em segurança para WordPress. Segundo os pesquisadores, o fabricante do plugin lançou uma versão corrigida no mesmo dia em que o problema veio a público. Ainda assim, o firewall da Wordfence já registrou o bloqueio de mais de 190 mil tentativas de exploração direcionadas a essa vulnerabilidade específica.
Proteção automática e recomendação de atualização
De acordo com a Wordfence, todos os usuários de suas soluções de segurança — sejam das versões pagas Wordfence Premium, Wordfence Care e Wordfence Response, sejam da versão gratuita — estão protegidos contra tentativas de exploração dessa falha, graças ao módulo de proteção contra upload malicioso de arquivos incorporado ao firewall da empresa.
Diante da constatação de que ataques já estão em curso, a companhia recomenda fortemente que administradores de sites atualizem o Elementor Pro para a versão mais recente disponível, identificada como 4.2.2 no momento da divulgação do alerta, o quanto antes.
Detalhes técnicos da vulnerabilidade
Catalogada como CVE-2026-32475, a falha recebeu nota 9,8 em uma escala de gravidade que vai até 10, classificação considerada crítica. A vulnerabilidade foi identificada pelos pesquisadores Tin Pham (TF1T) e Austin Ginder, que receberam uma recompensa de US$ 15.600,00 pela descoberta. O problema afeta todas as versões do plugin até a 4.2.1, sendo corrigido a partir da versão 4.2.2.
Segundo a análise técnica da Wordfence, a origem do problema está na função process_field, responsável por validar os arquivos enviados por meio do widget de formulários do Elementor Pro. Um erro no laço de validação da rotina Upload::validation() faz com que, ao encontrar o primeiro elemento de um array de upload com status “UPLOAD_ERR_NO_FILE”, o sistema utilize o comando “return” em vez de “continue”. Isso interrompe prematuramente todas as verificações de extensão e tipo de arquivo para os demais itens enviados no mesmo campo.
Especialistas explicam que, na prática, isso permite que um invasor sem necessidade de login envie arquivos com extensões potencialmente perigosas, como “.php”, resultando em execução remota de código. Para que o ataque funcione, contudo, é necessário que o site alvo tenha uma página publicada contendo um widget de formulário do Elementor Pro com pelo menos um campo de upload de arquivo não obrigatório.
Como funciona o ataque na prática
De acordo com dados de tentativas reais de exploração coletados pela Wordfence, os atacantes enviam o campo de upload do formulário como um array, estruturado de forma a acionar a falha de validação. O primeiro elemento do array é enviado vazio, enquanto o segundo carrega o payload malicioso em PHP com um nome de arquivo terminado em “.php” — estrutura que, segundo os pesquisadores, é justamente o gatilho da brecha de segurança.
Analistas detalham que essa manipulação faz com que o primeiro elemento do campo, com nome de arquivo vazio, gere o estado “UPLOAD_ERR_NO_FILE”, que por sua vez ativa o desvio de validação e libera todos os elementos seguintes do mesmo campo sem qualquer checagem adicional. O segundo elemento, então, carrega o arquivo malicioso, que acaba sendo gravado no servidor da vítima.
Uma vez concluído o upload, o arquivo PHP malicioso é armazenado no diretório /wp-content/uploads/elementor/forms/, com um nome gerado aleatoriamente pelo sistema, mas preservando a extensão “.php” definida pelo atacante. A partir daí, o invasor pode acessar diretamente esse arquivo pela internet e executar comandos arbitrários no servidor comprometido, o que caracteriza, segundo especialistas, um cenário típico de instalação de webshells e comprometimento total do site.
Recomendações para administradores de sites
Diante do volume expressivo de tentativas de ataque já bloqueadas, a orientação de especialistas em segurança é clara:
- Atualizar imediatamente o plugin Elementor Pro para a versão 4.2.2 ou superior;
- Verificar se há páginas publicadas com formulários que contenham campos de upload de arquivo não obrigatórios;
- Manter soluções de firewall e monitoramento ativas para identificar tentativas de exploração;
- Revisar logs do servidor em busca de arquivos suspeitos no diretório de uploads do Elementor.
Como ocorre em qualquer vulnerabilidade de upload arbitrário de arquivos, especialistas reforçam que o risco não se limita ao comprometimento de dados: a falha pode resultar na perda total de controle sobre o site, exigindo ações rápidas de correção por parte dos administradores de páginas WordPress que utilizam o plugin.
