Uma vulnerabilidade crítica identificada no plugin Super Forms, ferramenta de criação de formulários por arrastar e soltar usada em cerca de 13 mil instalações ativas do WordPress, está sendo explorada ativamente por criminosos digitais. A brecha, classificada como upload arbitrário de arquivos sem necessidade de autenticação, permite que atacantes enviem arquivos maliciosos — incluindo backdoors em PHP — e assumam controle remoto sobre os sites afetados.
A falha foi tornada pública em 9 de julho de 2026 pela equipe de segurança da Wordfence, um dia após o desenvolvedor do plugin lançar a versão corrigida. Segundo os registros da empresa, as tentativas de exploração começaram em 14 de julho, exatamente na mesma data em que a regra de firewall correspondente foi disponibilizada. Desde então, o firewall da Wordfence já bloqueou mais de 250 mil tentativas de ataque direcionadas a essa vulnerabilidade específica.
Cronograma de proteção e correção
Usuários das versões pagas da ferramenta de segurança — Wordfence Premium, Wordfence Care e Wordfence Response — passaram a contar com a regra de proteção contra exploits conhecidos já em 14 de julho de 2026. Já os sites que utilizam a versão gratuita do plugin receberam a mesma camada de defesa apenas 30 dias depois, em 13 de agosto de 2026, prazo padrão adotado pela empresa para disponibilização gratuita de novas regras.
Diante do cenário de exploração ativa, a recomendação é que administradores de sites atualizem imediatamente o Super Forms para a versão mais recente disponível, a 6.3.314, que corrige integralmente o problema.
Como a vulnerabilidade funciona
O Super Forms processa envios de formulários, incluindo campos de upload de arquivos, por meio da função submit_form(), presente na classe SUPER_Ajax e acessível por visitantes não autenticados. Ao analisar campos do tipo “arquivos” que contenham um valor no formato datauristring, o plugin decodifica o conteúdo em base64 e grava o resultado diretamente no disco.
O problema está no fato de que o nome do arquivo de destino é definido por um valor controlado pelo próprio atacante, que é simplesmente concatenado ao caminho do diretório de upload antes da gravação — sem qualquer validação de tipo ou extensão do arquivo.
Na prática, isso significa que um invasor pode enviar um nome de arquivo com extensão .php, eventualmente combinado com sequências de path traversal, fazendo com que os dados decodificados sejam salvos como um arquivo PHP executável em qualquer local escolhido dentro do servidor.
“Isso torna possível que atacantes não autenticados gravem um webshell em PHP no site e executem código arbitrário, o que pode ser usado para criar contas de administrador, extrair dados ou assumir controle total do site”, descreve a análise técnica da vulnerabilidade.
A barreira do nonce é facilmente contornada
Embora o endpoint exija tecnicamente um nonce de sessão (sf_nonce) como camada de proteção, essa barreira se mostra ineficaz. A ação nopriv AJAX chamada super_create_nonce permite que qualquer visitante não autenticado gere um nonce válido e um cookie de sessão em uma requisição anterior, reduzindo toda a exploração a apenas duas requisições HTTP simples e sem necessidade de login.
Evidências reais de ataques
Os registros de tentativas de invasão mostram atacantes enviando requisições para o endpoint super_submit_form contendo um campo de arquivo com um payload PHP codificado em base64 e um nome de arquivo definido pelo próprio invasor. Um exemplo de requisição capturada mostra o envio via admin-ajax.php de um formulário contendo o parâmetro action=super_submit_form, acompanhado de um nonce e de um payload disfarçado como imagem GIF, mas que na realidade contém código PHP malicioso capaz de instalar um uploader de arquivos — um tipo de ferramenta usada por invasores para enviar novos arquivos maliciosos ao servidor comprometido após a exploração inicial.
A vulnerabilidade foi catalogada com CVE-2026-14894 e recebeu classificação de severidade 9,8, considerada crítica na escala CVSS. A descoberta é atribuída ao pesquisador de segurança Andrea Bocchetti, que recebeu bounty pela identificação e reporte da falha.
Recomendação final
Diante da confirmação de exploração ativa e do alto volume de tentativas já bloqueadas, especialistas reforçam que a atualização imediata do Super Forms para a versão 6.3.314 é a medida mais eficaz para eliminar o risco. Sites que ainda operam com versões anteriores ou iguais à 6.3.313 permanecem expostos a comprometimento total por atacantes sem qualquer necessidade de credenciais de acesso.
