Duas vulnerabilidades críticas no núcleo do WordPress, identificadas coletivamente como wp2shell, estão a ser ativamente exploradas por atacantes em todo o mundo. A cadeia de exploração — formada pelos CVE-2026-63030 e CVE-2026-60137 — permite que qualquer pessoa execute código remotamente num site WordPress sem necessitar de conta, de plugins de terceiros ou de qualquer interação com o utilizador. As correções foram lançadas a 17 de julho de 2026 nas versões 6.9.5, 7.0.2 e 6.8.6, mas dezenas de milhões de instalações continuam por atualizar, com exploração ativa confirmada desde 18 de julho.
Em resumo: o “wp2shell” é uma cadeia de duas vulnerabilidades no núcleo do WordPress — CVE-2026-63030 (confusão de rotas na API REST) e CVE-2026-60137 (injeção de SQL no WP_Query) — que, combinadas, permitem a um atacante não autenticado executar código e assumir o controlo total de um site, sem plugins nem interação. Afeta as versões 6.9.0-6.9.4 e 7.0.0-7.0.1; as correções chegaram a 17 de julho de 2026 nas versões 6.9.5, 7.0.2 e 6.8.6. Há exploração ativa confirmada e provas de conceito públicas. A ação é uma só e urgente: confirmar que o WordPress está atualizado hoje.
O que é o wp2shell e como funciona
wp2shell não é uma falha isolada: é uma cadeia de dois problemas distintos que, combinados, permitem a um atacante anónimo executar código numa instalação WordPress por omissão, sem plugins, sem conta válida e sem interação do utilizador.
A primeira falha, CVE-2026-63030, é uma fraqueza de confusão de rotas no endpoint em lote da REST API, especificamente em WP_REST_Server::serve_batch_request_v1(). A segunda, CVE-2026-60137, é uma injeção SQL em WP_Query. Juntas, formam uma cadeia de execução remota de código completa.
A partir de um erro no processamento de pedidos no endpoint REST em lote, um atacante anónimo consegue escalar através de injeção SQL e hidratação de objetos para criar uma conta de administrador e, em última análise, atingir execução remota de código numa instalação por omissão.
A confusão de rotas permite que um adversário não autenticado aceda a endpoints autenticados e crie um novo utilizador administrativo malicioso, que pode depois realizar atividade pós-exploração típica. Isto inclui o carregamento de webshells, exfiltração de bases de dados, redirecionamento de visitantes para sites maliciosos ou instalação de malware.
As falhas foram descobertas por Adam Kues, da Searchlight Cyber — braço de gestão de superfície de ataque da empresa de segurança —, que confirmou que um atacante não autenticado pode explorá-las contra uma instalação WordPress por omissão.
Versões afetadas e correções disponíveis
| Ramo WordPress | Estado | Versão corrigida |
|---|---|---|
| 7.0.0 – 7.0.1 | Cadeia RCE completa | 7.0.2 |
| 6.9.0 – 6.9.4 | Cadeia RCE completa | 6.9.5 |
| 6.8.0 – 6.8.5 | Apenas injeção de SQL | 6.8.6 |
| ≤ 6.8.5 (anteriores) | Não afetadas pela cadeia RCE | — |
A cadeia completa de exploração wp2shell afeta as versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1 do WordPress. Uma faixa mais estreita — as versões 6.8.0 a 6.8.5 — contém apenas o componente de injeção SQL e não está exposta à cadeia completa. Versões anteriores à 6.8 não são afetadas.
Divulgada a 17 de julho de 2026, a cadeia combina as duas vulnerabilidades, e o WordPress lançou correções nas versões 6.8.6, 6.9.5 e 7.0.2, tomando a medida invulgar de forçar a atualização automática em todas as instalações suportadas através do seu sistema de auto-update.
O WordPress raramente aciona este mecanismo de atualização forçada — historicamente, ficou reservado para incidentes de escala catastrófica. O facto de a fundação ter ativado esta opção imediatamente após a divulgação é, por si só, um sinal claro da gravidade da situação.
Não obstante, os administradores devem verificar manualmente que cada site WordPress com acesso à internet foi atualizado com sucesso para as versões 6.9.5, 7.0.2 ou outra versão corrigida adequada para o seu ramo.
Exploração ativa e prova de conceito pública
Múltiplas empresas de segurança confirmaram exploração ativa em ambiente real, com provas de conceito públicas a surgir poucas horas após a divulgação a 17 de julho de 2026.
Embora não houvesse exploração no momento da divulgação, os primeiros relatos de atividade em ambiente real surgiram rapidamente. A VulnCheck confirmou exploração ativa a partir de 20 de julho.
Uma prova de conceito pública demonstra a injeção SQL e consegue ler a base de dados, incluindo os hashes de palavras-passe de administradores. A disponibilidade desta ferramenta no GitHub reduz drasticamente o esforço necessário para um atacante sondar instalações expostas, tornando a ameaça acessível mesmo a intervenientes com capacidades técnicas limitadas.
Segundo o consultor de segurança Daniel Card, menos de 15% dos sites analisados estão protegidos, o que sugere um risco potencial de cerca de 90 milhões de páginas. Este número reflete um problema estrutural bem conhecido no ecossistema WordPress: a atualização do núcleo nem sempre é feita de forma imediata, especialmente em instalações antigas ou geridas por entidades sem recursos técnicos dedicados.
Um problema no núcleo, não nos plugins
Esta distinção é crucial. A maioria das falhas de segurança do WordPress reside em plugins de terceiros — como no ataque à cadeia de fornecimento que comprometeu plugins com 1,2 milhões de instalações. O wp2shell é mais grave precisamente porque vive no núcleo: afeta qualquer site numa versão vulnerável, independentemente do que tenha instalado por cima.
Uma característica que distingue o wp2shell de muitas outras ameaças ao WordPress é a sua localização: afeta instalações WordPress por omissão com versões vulneráveis do núcleo. Uma vez que a falha reside no núcleo e não em plugins ou temas, os sites ficam expostos mesmo sem código adicional de terceiros.
Historicamente, 92% de todas as brechas bem-sucedidas no WordPress em 2025 tiveram origem em componentes extensíveis — plugins e temas —, e não no software principal. O wp2shell inverte esta tendência de forma preocupante: basta ter uma instalação padrão com uma versão afetada para estar em risco.
Como a vulnerabilidade reside no núcleo do WordPress, todos os sites a executar uma versão afetada estão expostos, independentemente do que esteja instalado por cima. Mesmo os sites que não utilizam plugins populares, temas de terceiros ou integrações complexas estão vulneráveis se não tiverem aplicado as correções disponíveis.
O que devem fazer os administradores de sites
A resposta imediata é clara: os operadores de sites WordPress devem confirmar que estão a executar a versão 7.0.2 ou posterior e verificar que as atualizações automáticas estão ativas para o futuro. Para quem use versões mais antigas, a atualização para 6.9.5 ou 6.8.6 é igualmente urgente.
Para além da atualização imediata, os especialistas recomendam uma série de medidas complementares. A utilização de uma firewall de aplicações web (WAF) — como as oferecidas pelo Wordfence, Cloudflare ou Sucuri — pode bloquear tentativas de exploração enquanto a atualização ainda não foi aplicada. A monitorização de registos de acesso em busca de pedidos suspeitos ao endpoint /wp-json/batch/v1 é igualmente aconselhável. Quem suspeite que o site possa já ter sido comprometido deve verificar a existência de contas de administrador não reconhecidas, de ficheiros PHP estranhos nas diretorias da instalação, e de redirecionamentos ou scripts injetados nas páginas.
Porque é que isto importa
Em Portugal, o WordPress é amplamente utilizado por pequenas e médias empresas, entidades públicas, meios de comunicação e profissionais independentes para gerir a sua presença digital. Uma exploração bem-sucedida do wp2shell pode traduzir-se no controlo total do site, acesso a dados de utilizadores e clientes, e potencial violação do Regulamento Geral sobre a Proteção de Dados (RGPD). Recorde-se que o RGPD obriga as organizações a notificar a Comissão Nacional de Proteção de Dados (CNPD) no prazo de 72 horas após tomarem conhecimento de uma violação de dados pessoais — e a comprometer um site com base de dados de clientes ou subscritores qualifica-se precisamente como tal.
No âmbito do novo enquadramento legal de cibersegurança em Portugal, o Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2, impõe obrigações acrescidas de gestão do risco de segurança das redes e sistemas de informação às entidades essenciais e importantes. A manutenção de software atualizado e a aplicação atempada de correções de segurança são requisitos explícitos deste quadro normativo, e a persistência de instalações vulneráveis pode constituir incumprimento com consequências legais e reputacionais. O Centro Nacional de Cibersegurança (CNCS) tem, aliás, reforçado regularmente a mensagem de que a atualização de software é uma das medidas de higiene digital mais eficazes e acessíveis para qualquer organização.
Este incidente deverá renovar o escrutínio mais amplo sobre a velocidade com que as correções críticas se propagam pelo ecossistema WordPress, dado com que frequência as vulnerabilidades do núcleo e de plugins têm sido exploradas em larga escala nos últimos meses. Para os gestores de PME e responsáveis pela presença digital de organizações em Portugal, a mensagem é simples: verificar agora a versão do WordPress instalada pode ser a diferença entre um site seguro e uma violação com consequências legais, financeiras e reputacionais.
Perguntas frequentes
O que é o wp2shell?
É o nome dado a uma cadeia de duas vulnerabilidades no núcleo do WordPress (CVE-2026-63030 e CVE-2026-60137) que, combinadas, permitem a um atacante sem autenticação executar código remotamente e assumir o controlo total de um site WordPress, sem necessitar de plugins, conta ou interação do utilizador.
Que versões do WordPress estão afetadas?
A cadeia de execução de código completa afeta as versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1. As versões 6.8.0 a 6.8.5 têm apenas o componente de injeção de SQL. As correções estão nas versões 6.9.5, 7.0.2 e 6.8.6, lançadas a 17 de julho de 2026.
Como sei se o meu site está protegido?
Verifique a versão do WordPress no painel de administração (Painel → Atualizações). O WordPress.org ativou atualizações automáticas forçadas, mas os administradores devem confirmar que a correção foi efetivamente aplicada e que a versão instalada é a 6.9.5, 7.0.2 ou superior.
A falha já está a ser explorada?
Sim. Várias empresas de segurança confirmaram exploração ativa, e existem provas de conceito públicas disponíveis desde poucas horas após a divulgação. Trata-se de uma prioridade de correção imediata para qualquer site WordPress acessível pela internet.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Searchlight Cyber, Rapid7, Tenable, VulnCheck, SOCRadar, Bleeping Computer e Picus Security.