Uma falha grave num dos plugins de cópia de segurança e migração mais usados do WordPress permite que atacantes sem qualquer conta no site plantem código malicioso e esperem pelo momento certo para tomar conta da instalação. O problema é identificado como CVE-2026-19949, recebeu classificação de gravidade elevada e, segundo investigadores da Wordfence, trata-se de uma injeção de SQL de segunda ordem que afeta o All-in-One WP Migration and Backup nas versões até à 7.109. O plugin está instalado em mais de cinco milhões de sites e a programadora ServMask corrigiu a falha na versão 7.110, lançada a 20 de agosto de 2026. O detalhe mais incómodo é o número de sites que continuam por atualizar.
Resposta rápida: A CVE-2026-19949 é uma injeção de SQL de segunda ordem no plugin All-in-One WP Migration and Backup, com pontuação CVSS 8.8, que afeta todas as versões até à 7.109 e foi corrigida na 7.110. O ataque começa com dados manipulados enviados por trackbacks e só é executado quando um administrador restaura um arquivo .wpress, podendo terminar em execução remota de código. Atualize já para a versão 7.110 ou superior, desative trackbacks e pingbacks desnecessários e procure comentários suspeitos e contas de administrador não reconhecidas.
Uma bomba-relógio guardada na base de dados
Ao contrário de uma injeção de SQL clássica, em que o comando malicioso é executado no momento em que é enviado, esta falha pertence à categoria das injeções de segunda ordem. A Wordfence descreve-a como uma injeção de SQL de segunda ordem não autenticada no processo de restauro de arquivos do plugin, em que o atacante consegue guardar dados especialmente construídos na base de dados — e depois limita-se a esperar.
A causa técnica é conhecida. O problema resulta da interpretação incorreta de barras invertidas e aspas escapadas quando o plugin reescreve o conteúdo da base de dados durante o restauro do arquivo. Na descrição do registo da vulnerabilidade, o plugin é vulnerável a injeção de SQL através da funcionalidade de restauro de arquivos em todas as versões até à 7.109, devido a escape insuficiente de um parâmetro fornecido pelo utilizador e à falta de preparação adequada da consulta SQL existente, o que permite a atacantes não autenticados acrescentar consultas adicionais às já existentes e extrair informação sensível da base de dados.
Do trackback ao controlo total: como se encadeia o ataque
O caminho descrito pelos investigadores é engenhoso precisamente porque usa funcionalidades normais do WordPress e do próprio plugin. Um atacante não autenticado pode colocar dados manipulados através de trackbacks do WordPress, que acabam por ser executados quando um administrador exporta e importa o site — duas operações correntes para quem usa este plugin. O SQL injetado pode expor a chave secreta de importação do plugin (ai1wm_secret_key) através de um comentário público, permitindo ao atacante obtê-la e importar um arquivo .wpress malicioso com código executável. A partir daí, a Wordfence refere que a execução de código a este nível de privilégio pode levar ao controlo completo do site visado.
Há uma condição que reduz o risco imediato: a carga maliciosa permanece inativa até que o administrador restaure um arquivo de cópia de segurança, ação que leva o processamento dos limites das cadeias SQL a executar os dados guardados como SQL; embora este pré-requisito atenue o risco imediato de exploração, a Wordfence nota que, dada a função do plugin, é expectável que os administradores acabem por realizar essa operação. Ou seja, o risco não desaparece — apenas fica adiado até ao dia em que o site mais precisa de ser recuperado.
Cronologia da divulgação
| Data (2026) | Acontecimento |
|---|---|
| 14 de agosto | Reporte à Wordfence por Jack Taylor, através do programa de recompensas por bugs |
| 15 de agosto | A Wordfence comunica a falha à ServMask, após validar a descoberta |
| 16 de agosto | Regra de firewall disponibilizada a clientes Premium, Care e Response da Wordfence |
| 17 de agosto | A ServMask confirma a receção do reporte |
| 20 de agosto | Lançamento da versão 7.110 com a correção |
| 25 de agosto | Publicação do registo público da vulnerabilidade |
| 15 de setembro | Data prevista para a regra chegar aos utilizadores gratuitos da Wordfence |
A descoberta foi recompensada: Taylor recebeu um prémio de 5761 dólares pela vulnerabilidade, à qual foi atribuída uma pontuação CVSS de 8,8.
Milhões de sites continuam por atualizar
O ponto mais preocupante não é a falha em si, mas a inércia na aplicação da correção. Desde que o fabricante corrigiu o problema, apenas cerca de 35% da base de utilizadores do plugin atualizou para a versão mais recente, o que deixa aproximadamente 3,25 milhões de sites a correr uma versão vulnerável. Em termos práticos, duas em cada três instalações mantêm exposta uma cadeia de ataque que só precisa de um restauro de cópia de segurança para se completar.
| Elemento | Detalhe |
|---|---|
| Identificador | CVE-2026-19949 |
| Produto | All-in-One WP Migration and Backup (ServMask) |
| Versões afetadas | Todas até à 7.109, inclusive |
| Versão corrigida | 7.110 |
| CVSS | 8.8 (elevado) |
| Tipo | Injeção de SQL (CWE-89) no restauro de arquivos |
| Impacto potencial | Execução remota de código e comprometimento total do site |
Sobre exploração real, convém prudência. Bases de dados agregadoras assinalam que não há inclusão no catálogo KEV da CISA e que existem relatos de exploração sem confirmação independente nas fontes disponíveis, havendo referência a um repositório público de prova de conceito. Não há, até ao momento, confirmação pública de campanhas em larga escala dirigidas a esta falha.
O que fazer agora, passo a passo
- Atualizar imediatamente o plugin para a versão
7.110ou posterior, em todos os sites geridos, incluindo ambientes de teste e sites antigos esquecidos. - Não restaurar arquivos
.wpressenquanto a atualização não estiver aplicada — é precisamente o restauro que ativa a carga maliciosa. - Rever as definições de trackbacks públicos, inspecionar os comentários em busca de entradas suspeitas e investigar atividades recentes de restauro de cópias de segurança.
- Verificar que não foram acrescentados plugins ou contas de administrador não autorizados.
- Procurar comentários ou trackbacks que contenham fragmentos de SQL, aspas e barras invertidas escapadas ou valores que se pareçam com a chave
ai1wm_secret_key. - Guardar registos de acesso do servidor web e da base de dados antes de qualquer limpeza, para permitir uma análise forense posterior.
- Se houver suspeita de comprometimento, tratar o site como potencialmente controlado por terceiros: rodar credenciais, chaves de API e salts do
wp-config.php, e reconstruir a partir de uma cópia validada.
Para quem gere dezenas de sites de clientes — agências, freelancers e prestadores de alojamento — vale a pena tratar isto como uma campanha de atualização coordenada e não como uma tarefa individual, dada a proporção de instalações que continua desatualizada.
Porque é que isto importa em Portugal
O WordPress sustenta uma fatia enorme dos sites institucionais, lojas online e páginas de PME portuguesas, e o All-in-One WP Migration é um dos plugins de eleição para migrar alojamentos ou preparar ambientes de estágio. A ironia é conhecida de quem trabalha em resposta a incidentes: a ferramenta comprada para garantir recuperação passa a ser o vetor de comprometimento. As cópias de segurança e os mecanismos de restauro fazem parte do perímetro de segurança e devem ser tratados como componentes críticos, com o mesmo rigor de atualização aplicado ao núcleo do WordPress.
Do ponto de vista regulatório, o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, obriga as entidades abrangidas a manter processos de gestão de vulnerabilidades, gestão de ativos e continuidade de negócio, incluindo cópias de segurança fiáveis. Uma falha desta natureza toca exatamente nesse cruzamento: gestão de patches num componente de terceiros e integridade do processo de recuperação. O CNCS e o CERT.PT são os pontos de contacto nacionais para reporte e apoio na resposta a incidentes, e disponibilizam alertas sobre vulnerabilidades relevantes para o tecido empresarial português.
Há ainda a dimensão de proteção de dados. Um site comprometido com execução de código pode dar acesso a formulários de contacto, listas de subscritores, encomendas e dados de clientes. Nesse cenário, aplica-se o RGPD, com o dever de avaliar a violação de dados pessoais e, quando houver risco para os titulares, notificar a CNPD no prazo de 72 horas e, em casos de risco elevado, informar as próprias pessoas afetadas. Manter um inventário atualizado de plugins e um registo de quando cada um foi atualizado deixa de ser boa prática e passa a ser prova de diligência.
Perguntas frequentes
O meu site está vulnerável se nunca restaurei uma cópia de segurança?
A carga maliciosa pode já estar guardada na base de dados e só é executada no momento do restauro. Se ainda não restaurou nenhum arquivo, tem tempo para atualizar primeiro para a versão 7.110 ou superior e só depois avançar com qualquer operação de importação.
Basta desativar o plugin em vez de o atualizar?
Desativar reduz o risco enquanto não houver restauro, mas a solução recomendada é atualizar para a versão corrigida. Se o plugin não for necessário, o melhor é removê-lo por completo em vez de o deixar desativado no sistema.
Como sei se alguém já explorou esta falha no meu site?
Procure comentários e trackbacks com conteúdo estranho ou fragmentos de SQL, contas de administrador que não reconhece, plugins instalados sem autorização e ficheiros PHP recentes em diretórios de uploads. Verifique também registos de importações de arquivos que não tenha iniciado.
Esta vulnerabilidade obriga a notificar alguma autoridade em Portugal?
A existência da falha, por si só, não obriga a notificação. Se houver comprometimento com acesso a dados pessoais, aplicam-se os deveres do RGPD perante a CNPD; entidades abrangidas pelo Regime Jurídico da Cibersegurança devem ainda avaliar as obrigações de reporte de incidentes ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Wordfence, pela ServMask e por bases de dados públicas de vulnerabilidades.