Um novo levantamento sobre vulnerabilidades WordPress revela que, entre os dias 5 e 11 de outubro de 2026, foram catalogadas 655 falhas de segurança distribuídas em 406 plugins e 100 temas para a plataforma. O trabalho de identificação e documentação contou com a participação de 236 pesquisadores de segurança, que contribuíram ativamente para mapear riscos que podem afetar milhões de sites construídos sobre o WordPress. Por isso, a recomendação é que administradores de sites revisem com atenção os detalhes dessas vulnerabilidades para garantir que suas plataformas não estejam expostas.
O relatório foi produzido pelo Wordfence Intelligence, iniciativa que reúne e organiza dados sobre falhas de segurança no ecossistema WordPress, disponibilizando-os de forma gratuita tanto para uso pessoal quanto comercial. A proposta, segundo a própria equipe, é tornar essas informações acessíveis a toda a comunidade, permitindo que empresas, provedores de hospedagem e usuários individuais apliquem estratégias de segurança em camadas — um modelo conhecido como defesa em profundidade. Para isso, o banco de dados de vulnerabilidades, a API e a integração via webhook seguem abertos e gratuitos, inclusive para quem deseja receber atualizações em tempo real.
Panorama das vulnerabilidades WordPress identificadas
Além do volume total de falhas, o relatório detalha como essas vulnerabilidades WordPress se distribuem entre status de correção e nível de gravidade. Do total de 655 ocorrências, 366 já foram corrigidas pelos desenvolvedores responsáveis, enquanto 289 permanecem sem patch disponível até o momento — um número expressivo que reforça a importância do monitoramento constante por parte de quem administra sites na plataforma.
Quanto à severidade, medida pela escala CVSS, a maior parte das falhas foi classificada como de risco médio, com 377 ocorrências. Em seguida aparecem as de alta severidade, somando 249 casos, enquanto 21 vulnerabilidades foram consideradas críticas. Apenas 8 falhas receberam classificação de baixa severidade. Esses números indicam que, embora a maioria dos problemas não seja catastrófica isoladamente, o volume de falhas de alto e crítico risco exige atenção redobrada de quem gerencia ambientes WordPress.
Tipos de falhas mais recorrentes
Entre as categorias técnicas de vulnerabilidades (CWE), os destaques da semana foram:
- Cross-site Scripting (neutralização inadequada de entrada durante geração de páginas) — 198 ocorrências
- Falta de autorização (Missing Authorization) — 112 ocorrências
- Desserialização de dados não confiáveis — 67 ocorrências
- Injeção SQL — 61 ocorrências
- Exposição de informações sensíveis a atores não autorizados — 45 ocorrências
- Gerenciamento inadequado de privilégios — 30 ocorrências
- Inclusão remota de arquivos PHP (Remote File Inclusion) — 24 ocorrências
Essa distribuição mostra que, mais uma vez, falhas relacionadas a scripts maliciosos e controle de permissões lideram o ranking, o que reforça a necessidade de validação rigorosa de entradas e revisão de permissões de usuários nos plugins e temas instalados.
Regras de firewall aplicadas na semana
Diante desse cenário, a equipe de inteligência de ameaças analisou cada vulnerabilidade reportada para avaliar impacto, severidade e probabilidade de exploração, verificando se o firewall oferece proteção adequada. Com base nessa análise, novas regras de proteção foram implementadas em tempo real para assinantes dos planos Premium, Care e Response, cobrindo as seguintes falhas:
- WordPress Core 7.1 – 7.1.2 — Cross-Site Scripting armazenado e não autenticado via comentários pendentes
- Abandoned Cart Pro for WooCommerce <= 10.8.0 — Injeção SQL não autenticada via meta_value de carrinho persistente de visitantes
Enquanto assinantes pagos recebem essa proteção de forma imediata, usuários da versão gratuita da ferramenta terão acesso às mesmas regras somente após um intervalo de 30 dias — uma diferença que, na prática, deixa sites sem o plano pago mais expostos durante esse período.
Pesquisadores que contribuíram para a segurança do WordPress
O relatório também reconhece o trabalho de quem efetivamente descobriu e reportou as falhas. Entre os nomes com maior número de contribuições na semana estão Ananda Dhakal, com 61 vulnerabilidades identificadas, João Pedro S Alcântara, com 42, além de Bonds e Wordfence PRISM, cada um com 26 ocorrências registradas. Também se destacaram Naoki Kawahigashi (19), Tran Nguyen Bao Khanh (18), Intrudify e Enrico Marcolini (16 cada), johska (15), Peter Tang (13) e Karthik Ramakrishnan (12), entre outros dezenas de pesquisadores que, juntos, somaram as 655 vulnerabilidades WordPress catalogadas na semana.
Diante do volume e da diversidade das falhas reportadas, a orientação central continua sendo a mesma: manter plugins, temas e o núcleo do WordPress sempre atualizados, revisar periodicamente quais extensões estão realmente em uso e acompanhar relatórios como este para identificar rapidamente se algum componente instalado no site está entre os afetados. Essa vigilância constante é, em última análise, o que separa um ambiente WordPress resiliente de um alvo fácil para agentes maliciosos.
Com informações de wordfence.com.
