Se o seu site, blog ou loja roda WordPress, pare o que estiver fazendo e confira a versão instalada. Duas falhas no núcleo da plataforma, batizadas em conjunto de WP2Shell, permitem que um invasor execute código no servidor sem precisar de login, de plugin vulnerável ou de qualquer pré-condição. Em outras palavras: uma instalação padrão, recém-configurada, já está exposta.
As correções saíram em 17 de julho nas versões 7.0.2 e 6.9.5, e a exploração ativa começou horas depois da divulgação, como reportou a SecurityWeek. A equipe do WordPress.org ativou atualizações forçadas pela gravidade do caso, segundo o comunicado oficial do lançamento 7.0.2, mas confiar apenas no update automático é um risco que não vale a pena correr.
Neste artigo, explico em linguagem direta como o ataque funciona, quais versões estão vulneráveis e o passo a passo para blindar o seu site hoje.
O que é o WP2Shell
O WP2Shell é uma cadeia de duas vulnerabilidades do núcleo do WordPress descobertas por Adam Kues, pesquisador da Assetnote, braço da Searchlight Cyber, e reportadas pelo programa oficial de recompensas da plataforma. A primeira (CVE-2026-63030, crítica) é uma confusão de rotas no endpoint de requisições em lote da REST API, o /wp-json/batch/v1. A segunda (CVE-2026-60137, de gravidade alta) é uma injeção de SQL no próprio núcleo.
Isoladas, as falhas já seriam graves. Encadeadas, elas transformam uma requisição anônima em execução remota de código (RCE), o tipo de brecha que dá ao invasor controle total do site: instalar malware, roubar dados de clientes, injetar spam de SEO ou derrubar a operação, como detalhou o The Hacker News. Os pesquisadores mantêm um verificador gratuito no site oficial do WP2Shell.
Quais versões estão vulneráveis
O código vulnerável existe desde a versão 6.9, lançada em dezembro de 2025. A tabela abaixo resume a situação de cada faixa de versão e a ação recomendada.
| Versão instalada | Situação | Ação recomendada |
|---|---|---|
| 7.0.0 e 7.0.1 | Vulnerável ao WP2Shell | Atualizar imediatamente para a 7.0.2 |
| 6.9.0 a 6.9.4 | Vulnerável ao WP2Shell | Atualizar imediatamente para a 6.9.5 |
| 6.8.x ou anterior | Sem a falha de rotas; a 6.8.6 corrige a injeção de SQL | Atualizar para a 6.8.6 e planejar migração de versão |
| 7.0.2 ou 6.9.5 | Corrigida | Confirmar a versão no painel e manter monitoramento |
A exploração já começou (e em ritmo recorde)
Provas de conceito públicas apareceram em questão de horas após os patches. A Patchstack confirmou exploração ativa, a Hexastrike registrou tentativas em honeypots já no fim de semana e no domingo fazia resposta a incidentes em sites comprometidos, e a watchTowr também observou ataques, conforme o levantamento da SecurityWeek. A Cloudflare publicou regras de firewall para proteger clientes que ainda não atualizaram, segundo o comunicado da empresa. A dimensão do problema também apareceu na cobertura do TechCrunch, que fala em milhões de sites em risco.
Isso vai doer. O WordPress roda em centenas de milhões de sites no mundo. Parte deles será corrigida automaticamente pelos provedores de hospedagem, mas muitos não serão, e é aí que o estrago vai acontecer.
Benjamin Harris, CEO da watchTowr, à SecurityWeek
Harris ainda resume o cenário atual da segurança: a janela entre a divulgação de uma falha e a exploração em massa praticamente desapareceu, em parte pelo uso de ferramentas assistidas por IA para criar exploits. É um lembrete de que governança e resposta rápida deixaram de ser luxo, tema que já tratamos ao discutir responsabilização e governança aplicável em IA.
Passo a passo: o que fazer agora
1. Atualize e confirme a versão
Atualize para a 7.0.2 (ou 6.9.5, se estiver na linha 6.9) e confirme a versão instalada no painel em vez de confiar no update forçado. Não está claro se o push automático alcança sites com atualizações desativadas, e muitos ambientes gerenciados aplicam patches com atraso.
2. Sem poder atualizar? Bloqueie as rotas
Se a atualização imediata não for possível, bloqueie no firewall de aplicação as duas formas de acesso ao endpoint: /wp-json/batch/v1 e ?rest_route=/batch/v1. Bloquear apenas uma delas deixa a porta entreaberta. Outra alternativa é restringir a REST API para usuários não autenticados.
3. Procure sinais de invasão
Como a exploração começou antes de muitos sites atualizarem, vale auditar: usuários administradores desconhecidos, arquivos modificados recentemente, plugins que você não instalou e picos estranhos de tráfego. Invasões em sites também costumam ser porta de entrada para golpes contra clientes, um risco parecido com o que mostramos no caso dos perfis falsos no WhatsApp.
Por que isso importa para SEO e para o negócio
Um site invadido não é só um problema de TI. Injeção de spam, páginas de phishing e malware derrubam a confiança do Google no domínio, podem gerar avisos de site perigoso na busca e no navegador e jogam fora meses de trabalho de posicionamento. Quem constrói um planejamento de SEO de longo prazo precisa tratar segurança como parte da estratégia, na mesma prateleira de conteúdo e tecnologia. E com sites cada vez mais conectados a agentes e protocolos de IA, como discutimos no artigo sobre WebMCP e os novos protocolos da web, a superfície de ataque só tende a crescer.
Perguntas frequentes
O que é o WP2Shell?
É o nome dado a uma cadeia de duas falhas no núcleo do WordPress: uma confusão de rotas na REST API (CVE-2026-63030) e uma injeção de SQL (CVE-2026-60137). Combinadas, permitem execução remota de código sem login.
Quais versões do WordPress estão vulneráveis?
As versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1. As correções estão na 6.9.5 e na 7.0.2, lançadas em 17 de julho de 2026. Versões anteriores à 6.9 não têm a falha de rotas, mas a 6.8.6 corrige a injeção de SQL.
Meu site atualiza sozinho. Estou protegido?
Provavelmente sim, mas confirme. O WordPress ativou atualizações forçadas, porém sites com auto-update desativado ou hospedagens que atrasam patches podem continuar expostos. Verifique a versão no painel.
Como sei se meu site já foi invadido?
Procure usuários administradores desconhecidos, arquivos modificados recentemente, plugins que você não instalou, redirecionamentos estranhos e quedas bruscas de tráfego orgânico. Em caso de suspeita, acione a hospedagem e um especialista em resposta a incidentes.
Plugins de segurança resolvem o problema?
Eles ajudam a mitigar, bloqueando as rotas do endpoint vulnerável, mas não substituem a atualização do núcleo. A única correção definitiva é rodar a versão 7.0.2 ou 6.9.5.
