Entre os dias 28 de setembro e 4 de outubro de 2026, foram registradas 501 vulnerabilidades distribuídas em 367 plugins e 9 temas do WordPress, todas incorporadas ao banco de dados de vulnerabilidades da Wordfence Intelligence. O levantamento contou com a participação de 201 pesquisadores de segurança, que contribuíram ativamente para identificar riscos que podem comprometer sites construídos sobre a plataforma. Diante do volume de falhas encontradas, especialistas recomendam que administradores de sites revisem com atenção cada item listado para confirmar se suas instalações não estão expostas.
O que motiva o monitoramento constante de vulnerabilidades
A proposta por trás da Wordfence Intelligence é tornar informações sobre falhas de segurança acessíveis a toda a comunidade WordPress, permitindo que desenvolvedores, empresas e usuários individuais apliquem estratégias de segurança em camadas — a chamada defesa em profundidade. Por isso, a interface do Wordfence Intelligence, a API de vulnerabilidades e a integração via webhook são oferecidas gratuitamente, tanto para uso pessoal quanto comercial, o que sustenta a publicação deste relatório semanal. Como um dos principais provedores de dados de vulnerabilidades para WordPress, a ferramenta busca dar segurança a proprietários de sites que precisam acompanhar de perto esse cenário.
Além disso, empresas, provedores de hospedagem e até usuários individuais podem acessar, pela API do banco de dados, um compilado completo com mais de 40.000 vulnerabilidades catalogadas. A partir daí, é possível usar a integração por webhook para se manter atualizado em tempo real sobre novas falhas inseridas no sistema, assim como sobre eventuales atualizações nos registros já existentes — tudo sem custo.
Novas regras de firewall aplicadas na última semana
A equipe de inteligência de ameaças da Wordfence analisa cada vulnerabilidade reportada para avaliar seu impacto, grau de severidade e a probabilidade de exploração, verificando assim se o firewall oferece proteção adequada contra cada caso.
Na semana em questão, a equipe implementou proteção reforçada, por meio de regras de firewall em tempo real, para clientes dos planos Premium, Care e Response. Entre as ações tomadas, destaca-se:
- WAF-RULE-963 – dados mantidos em sigilo enquanto a equipe trabalha junto ao fornecedor para o desenvolvimento de um patch de correção.
Enquanto assinantes dos planos pagos recebem essa camada extra de proteção de forma imediata, usuários da versão gratuita da ferramenta só terão acesso ao mesmo nível de segurança após um intervalo de 30 dias.
Panorama de vulnerabilidades corrigidas e pendentes
Do total de 501 falhas identificadas, 449 já contam com correção disponibilizada pelos desenvolvedores, enquanto 52 permanecem sem patch até o momento. Essa proporção reforça a importância de manter plugins e temas sempre atualizados, já que boa parte dos riscos já possui solução pronta para aplicação.
Severidade das falhas segundo o CVSS
Com base na escala CVSS, que mede a gravidade das vulnerabilidades, a distribuição ficou da seguinte forma:
- Severidade baixa: 1 vulnerabilidade
- Severidade média: 306 vulnerabilidades
- Severidade alta: 174 vulnerabilidades
- Severidade crítica: 20 vulnerabilidades
Ou seja, a maior parte dos casos concentra-se em níveis médio e alto, o que, por si só, já justifica atenção redobrada por parte de quem administra sites na plataforma.
Tipos de falhas mais frequentes por categoria CWE
Ao classificar as vulnerabilidades por tipo técnico (CWE), o relatório aponta que a falha de Cross-site Scripting (Improper Neutralization of Input During Web Page Generation) lidera com folga, somando 206 ocorrências. Em seguida aparecem:
- Missing Authorization: 68 casos
- SQL Injection: 42 casos
- Exposição de informações sensíveis a agentes não autorizados: 34 casos
- Deserialization of Untrusted Data: 30 casos
- Authorization Bypass Through User-Controlled Key: 23 casos
- Code Injection: 14 casos
- Path Traversal: 13 casos
- Improper Privilege Management: 13 casos
Outras categorias, como Client-Side Enforcement of Server-Side Security (9), Improper Authentication (8) e Cross-Site Request Forgery (7), também aparecem na lista, embora com volumes menores. No entanto, mesmo as falhas menos numerosas — como as de uso de senha fixa codificada no código (Hard-coded Password) ou falha no mecanismo de proteção — merecem atenção, já que podem representar brechas sérias dependendo do contexto de uso do plugin ou tema afetado.
Pesquisadores que mais contribuíram para a segurança do WordPress
O relatório também reconhece o trabalho dos profissionais que identificaram essas vulnerabilidades. Ananda Dhakal liderou o ranking com 72 descobertas, seguido por Intrudify, com 19, e Jakub Herman, com 14. Completam a lista de maiores contribuições nomes como nh4tvd e neurotx, ambos com 12 vulnerabilidades cada, além de Artus KG (10), Kuba e Rafie Muhammad (9 cada).
Outros pesquisadores também tiveram papel relevante na identificação de falhas, entre eles theviper17y, Wordfence PRISM, UKO e daroo, todos com 7 descobertas cada um. Nomes como Nguyen Ba Khanh, Enrico Marcolini, crow, dutafi, Erwan LR, Peter Tang e Adrien Brunner também constam na relação, com contribuições que variam entre 4 e 6 vulnerabilidades reportadas.
Em resumo, o volume de falhas identificadas na última semana reforça um cenário recorrente no ecossistema WordPress: por se tratar da plataforma mais utilizada para criação de sites no mundo, ela também se torna alvo constante de pesquisas de segurança — tanto para fins defensivos quanto para exploração maliciosa. Diante disso, a recomendação que permanece válida é a mesma de sempre: manter plugins, temas e o núcleo do WordPress sempre atualizados, revisar periodicamente extensões pouco utilizadas e acompanhar relatórios como este para identificar rapidamente se algum site sob gestão está entre os afetados.
Com informações de wordfence.com.
