Um novo levantamento sobre vulnerabilidades WordPress mostra que, entre os dias 19 e 25 de outubro, foram catalogadas 268 falhas de segurança distribuídas em 182 plugins e 15 temas do WordPress. Os dados foram incorporados ao banco de dados Wordfence Intelligence, e o trabalho de identificação contou com a colaboração de 124 pesquisadores de segurança ao longo da semana. A recomendação é que administradores de sites revisem essas vulnerabilidades o quanto antes para confirmar se suas plataformas não estão expostas.
A proposta por trás da iniciativa é tornar informações sobre vulnerabilidades WordPress acessíveis a toda a comunidade, permitindo que pessoas físicas e empresas usem esses dados para adotar estratégias de segurança em camadas, alinhadas a uma defesa mais robusta e em profundidade. Por isso, a interface do Wordfence Intelligence, a API de vulnerabilidades e a integração via webhook continuam disponíveis gratuitamente, tanto para uso pessoal quanto comercial — o que também justifica a publicação deste relatório semanal.
Acesso gratuito a um banco com mais de 40 mil vulnerabilidades WordPress
Empresas, provedores de hospedagem e até usuários individuais podem utilizar a API do banco de dados para obter um dump completo com mais de 40.000 vulnerabilidades já catalogadas. Além disso, é possível usar a integração via webhook para acompanhar em tempo real tanto as novas falhas adicionadas quanto eventuais atualizações feitas nos registros existentes — tudo sem custo.
Novas regras de firewall implementadas na semana
A equipe de inteligência de ameaças analisa cada vulnerabilidade para avaliar impacto, severidade e probabilidade de exploração, de forma a garantir que o firewall ofereça proteção adequada. Com base nessa análise, foi implementada em tempo real, na última semana, uma regra de proteção reforçada para clientes dos planos Premium, Care e Response referente à seguinte falha:
- UpdraftPlus <= 1.26.11 — comprometimento da chave UDRPC
Enquanto assinantes dos planos pagos recebem essa proteção de forma imediata, usuários da versão gratuita da ferramenta só terão acesso à mesma camada de defesa após um prazo de 30 dias.
Panorama de vulnerabilidades WordPress: corrigidas, não corrigidas e por severidade
Do total de 268 falhas identificadas, 225 já receberam correção (patch), enquanto 43 permanecem sem solução até o momento. Em relação à severidade, medida pela escala CVSS, a distribuição ficou da seguinte forma:
- Severidade baixa: 6 vulnerabilidades
- Severidade média: 186 vulnerabilidades
- Severidade alta: 69 vulnerabilidades
- Severidade crítica: 7 vulnerabilidades
Ou seja, a maior parte das ocorrências concentra-se em nível médio de risco, mas chama atenção o número de falhas de alta severidade, somadas às sete classificadas como críticas — que exigem atenção prioritária de quem administra sites construídos sobre a plataforma.
Tipos de falha mais recorrentes por categoria CWE
Quando analisadas por tipo técnico (classificação CWE), as vulnerabilidades mais frequentes no período foram:
- Falta de autorização (Missing Authorization): 75 ocorrências
- Neutralização imprópria de entrada durante geração de páginas web: 69 ocorrências
- Desserialização de dados não confiáveis: 20 ocorrências
- Bypass de autorização por chave controlada pelo usuário: 16 ocorrências
- Neutralização imprópria de elementos especiais em comandos SQL: 13 ocorrências
- Aplicação de segurança apenas no lado do cliente: 11 ocorrências
- Exposição de informação sensível a ator não autorizado: 10 ocorrências
- Gerenciamento impróprio de privilégios: 8 ocorrências
- Controle impróprio na geração de código: 7 ocorrências
- Autenticação imprópria: 6 ocorrências
- Falsificação de requisição entre sites (CSRF): 5 ocorrências
- Autorização incorreta: 5 ocorrências
- Verificação insuficiente de autenticidade de dados: 5 ocorrências
- Controle impróprio de nome de arquivo em instruções de include/require no PHP: 4 ocorrências
- Limitação imprópria de caminho a diretório restrito: 4 ocorrências
- Upload irrestrito de arquivo com tipo perigoso: 4 ocorrências
- Validação imprópria de entrada: 2 ocorrências
- CAPTCHA previsível: 1 ocorrência
- Autorização imprópria: 1 ocorrência
- Resolução imprópria de link antes do acesso a arquivo: 1 ocorrência
- Consumo de recurso não controlado: 1 ocorrência
Esse panorama reforça que falhas ligadas a controle de acesso e autorização continuam entre as mais comuns no ecossistema WordPress, o que, consequentemente, exige atenção redobrada de desenvolvedores de plugins e temas na hora de validar permissões.
Pesquisadores que contribuíram para a segurança do WordPress
A semana contou com a participação de 124 pesquisadores de segurança, responsáveis por identificar e reportar as vulnerabilidades WordPress incluídas no levantamento. Entre os nomes com maior número de contribuições estão Karthik Ramakrishnan, com 22 vulnerabilidades reportadas, e Naoki Kawahigashi, com 20. Em seguida aparecem João Pedro S Alcântara (11), Ananda Dhakal (10) e Jakub Herman (9).
Também se destacaram Peter Tang (7), Deva Parekh (6), além de Intrudify, RIA Labs, Muni Nitish Kumar Yaddala, Ryan Fabella e yzx001, cada um com 5 contribuições. Outros pesquisadores, como Tarcísio Luchesi, beopseong.kim, Enrico Marcolini, Claudio Marchesini e Dottor Marc, somaram 4 vulnerabilidades reportadas cada. A lista segue com dezenas de nomes adicionais, com contribuições que variam de 1 a 3 falhas identificadas, evidenciando o caráter coletivo e colaborativo desse trabalho de monitoramento contínuo da segurança do WordPress.
Em resumo, o volume de falhas catalogadas na semana — somado ao número expressivo de pesquisadores envolvidos — demonstra a dimensão do esforço necessário para manter o ecossistema WordPress minimamente seguro diante da enorme quantidade de plugins e temas em uso. Para quem administra sites na plataforma, a orientação prática permanece a mesma: manter plugins e temas sempre atualizados, dar prioridade à correção das falhas de severidade alta e crítica, e acompanhar relatórios como este para identificar riscos antes que sejam explorados.
Com informações de wordfence.com.
