A Wordfence Intelligence divulgou seu balanço semanal de vulnerabilidades do ecossistema WordPress, referente ao período de 17 a 23 de agosto de 2026. Foram catalogadas 263 falhas de segurança distribuídas entre 206 plugins e 17 temas, todas incorporadas ao banco de dados da empresa. O levantamento contou com a colaboração de 116 pesquisadores de segurança dedicados a identificar riscos na plataforma.
Segundo a companhia, o objetivo do trabalho é democratizar o acesso a informações sobre vulnerabilidades, permitindo que administradores de sites, empresas e desenvolvedores adotem estratégias de segurança em camadas. Para isso, a Wordfence mantém gratuitos recursos como a interface de consulta de ameaças, a API de vulnerabilidades, a integração via webhook e o scanner Wordfence CLI, ferramentas que podem ser usadas tanto para fins pessoais quanto comerciais.
Ferramentas gratuitas para monitoramento contínuo
A empresa reforça que hospedeiros, empresas e usuários individuais podem executar varreduras periódicas em seus sites por meio do Wordfence CLI Vulnerability Scanner. Já quem preferir obter uma visão mais ampla pode acessar, via API, o banco completo com mais de 35 mil vulnerabilidades registradas historicamente, complementando o acompanhamento com notificações em tempo real por webhook sempre que novos registros forem incluídos ou atualizados.
Novas regras de firewall aplicadas na semana
A equipe de inteligência de ameaças da Wordfence analisa cada falha reportada para avaliar seu impacto, gravidade e probabilidade de exploração, definindo se o firewall da empresa já oferece proteção adequada. Com base nesse trabalho, uma nova regra foi implementada em tempo real para assinantes dos planos Premium, Care e Response:
- WAF-RULE-952 – detalhes mantidos em sigilo enquanto a equipe negocia uma correção junto ao fornecedor do plugin afetado.
Clientes dos planos pagos recebem essa proteção de forma imediata. Já os usuários da versão gratuita do plugin terão acesso à mesma regra somente após um intervalo de 30 dias.
Panorama de correções e níveis de gravidade
Do total de vulnerabilidades identificadas, 181 já possuem correção disponibilizada pelos desenvolvedores, enquanto 82 permanecem sem patch até o momento. Em relação à gravidade, medida pelo padrão CVSS, a distribuição ficou da seguinte forma:
- Severidade média: 127 casos
- Severidade alta: 116 casos
- Severidade crítica: 20 casos
Tipos de falhas mais recorrentes
Ao classificar as vulnerabilidades por categoria técnica (CWE), a Wordfence identificou que os ataques de Cross-Site Scripting (XSS) lideram o ranking, com 80 ocorrências. Em seguida aparecem falhas de autorização ausente (46 casos) e injeção de SQL (30 casos). A lista completa das principais categorias inclui:
- Cross-Site Scripting (XSS): 80
- Missing Authorization: 46
- SQL Injection: 30
- Deserialização de dados não confiáveis: 14
- Bypass de autorização via chave controlada pelo usuário: 12
- Gerenciamento inadequado de privilégios: 12
- Inclusão remota de arquivos PHP (RFI): 11
- Upload irrestrito de arquivos de tipo perigoso: 11
- Exposição de informações sensíveis: 10
- Injeção de código: 9
- Path Traversal: 5
- Falhas de autenticação e CSRF, entre outras categorias com menor incidência
Pesquisadores em destaque na semana
O relatório também reconhece os profissionais que mais contribuíram para o mapeamento de falhas no período. O pesquisador identificado como “daroo” liderou o ranking, com 19 vulnerabilidades reportadas, seguido por Ananda Dhakal (17) e “dutafi” (16). Completam a lista entre os destaques:
- Tran Nguyen Bao Khanh – 12 vulnerabilidades
- Jakub Herman – 10 vulnerabilidades
- Erwan LR – 9 vulnerabilidades
- Asim Alshaya – 9 vulnerabilidades
- Nabil Irawan – 7 vulnerabilidades
- Nguyen Ba Khanh – 6 vulnerabilidades
- Wordfence PRISM – 6 vulnerabilidades
- Shikhali Jamalzade – 5 vulnerabilidades
- Farid Narimanov – 5 vulnerabilidades
A Wordfence recomenda que administradores de sites WordPress revisem periodicamente as vulnerabilidades listadas em seu banco de dados, priorizando a atualização de plugins e temas com falhas já corrigidas e adotando medidas adicionais de proteção nos casos ainda sem patch disponível.
