Um plugin utilizado por mais de 5 milhões de sites WordPress ativos foi alvo de uma descoberta preocupante no campo da segurança digital. Trata-se do All-in-One WP Migration and Backup, ferramenta amplamente adotada para criação de backups e migração de sites, que apresentava uma vulnerabilidade classificada como injeção de SQL não autenticada de segunda ordem. O problema permite que invasores, sem qualquer credencial de acesso, insiram comandos maliciosos que só se tornam ativos quando o administrador do site realiza uma restauração de arquivo.
A falha foi identificada em 14 de agosto de 2026 pelo pesquisador Jack Taylor, que reportou o caso de forma responsável por meio do Programa de Recompensas por Bugs (Bug Bounty) da Wordfence. Pelo achado, ele recebeu uma recompensa de US$ 5.761,00. A equipe da Wordfence destacou que esse tipo de investigação faz parte de sua estratégia de segurança em múltiplas camadas, voltada a mapear e neutralizar riscos antes que sejam explorados em larga escala.
Como a vulnerabilidade pode ser explorada
Segundo a análise técnica divulgada, a brecha permite que um atacante consiga extrair a chave secreta do plugin, conhecida como ai1wm_secret_key, e, a partir dela, alcançar execução remota de código — o que na prática significa o controle total do site comprometido. A gravidade do problema recebeu nota 8.8 em uma escala de 10, classificada como de alto risco, e foi registrada oficialmente sob o identificador CVE-2026-19949.
A porta de entrada para o ataque é a funcionalidade nativa de trackback do WordPress, recurso que não exige autenticação para ser utilizado. O invasor envia dois trackbacks a uma publicação pública que aceite esse tipo de interação. Em cada um deles, o nome do blog termina com uma barra invertida e a URL carrega um conteúdo malicioso especialmente construído. O núcleo do WordPress armazena essas informações na tabela de comentários, no campo de autor e no campo de URL, sem tratar corretamente essa barra invertida nem validar o link informado.
O momento em que o ataque se ativa
Os dados maliciosos permanecem inofensivos até que o administrador do site realize a exportação e, posteriormente, a importação do conteúdo — um procedimento rotineiro para quem utiliza esse tipo de plugin de backup e migração. É justamente durante o processo de restauração que o problema se manifesta, quando a ferramenta reescreve URLs e prefixos de tabelas dentro das instruções SQL armazenadas, usando uma expressão regular para localizar valores entre aspas.
De acordo com a Wordfence, a falha central está em como essa expressão regular interpreta os limites de uma string. O mecanismo verifica apenas o caractere imediatamente anterior a uma aspa de fechamento, em vez de contar toda a sequência de barras invertidas que a precede. Isso faz com que uma aspa de fechamento precedida por duas barras invertidas — que na verdade indica o fim correto da string — seja interpretada de forma equivocada, levando o sistema a continuar capturando texto da instrução seguinte.
Esse comportamento gera um desequilíbrio na sequência de caracteres de escape durante o ciclo de processamento do plugin, o que acaba alterando os limites reais da instrução SQL executada no banco de dados — abrindo caminho para a injeção de comandos não autorizados.
Resposta da desenvolvedora e correção disponível
Os detalhes completos sobre a vulnerabilidade foram encaminhados à equipe da ServMask, desenvolvedora do plugin, em 15 de agosto de 2026, por meio do Portal de Gerenciamento de Vulnerabilidades da Wordfence. O reconhecimento oficial do problema ocorreu dois dias depois, em 17 de agosto, e a versão corrigida foi disponibilizada em 20 de agosto de 2026. A Wordfence elogiou publicamente a agilidade da equipe da ServMask na condução do processo.
Proteção para usuários e recomendação de atualização
Assinantes dos planos Wordfence Premium, Wordfence Care e Wordfence Response já haviam recebido uma regra de firewall para bloquear tentativas de exploração conhecidas em 16 de agosto de 2026. Já os usuários da versão gratuita da ferramenta terão essa mesma camada de proteção liberada 30 dias depois, em 15 de setembro de 2026.
- Versões afetadas: até a 7.109
- Versão corrigida: 7.110
- Classificação de gravidade: 8.8 (alta)
- Identificação oficial: CVE-2026-19949
A recomendação é clara e urgente: todos os administradores de sites que utilizam o All-in-One WP Migration and Backup devem atualizar imediatamente para a versão 7.110 ou superior, disponível no repositório oficial de plugins do WordPress, a fim de eliminar o risco de comprometimento total de seus ambientes.
