Entre os dias 31 de agosto e 6 de setembro de 2026, pesquisadores de segurança identificaram 277 vulnerabilidades em 187 plugins e sete temas do ecossistema WordPress. O levantamento da Wordfence aponta que 16 dessas brechas receberam a classificação máxima de severidade, permitindo ataques diretos sem necessidade de autenticação prévia. Embora a maioria já tenha solução disponível, 23 falhas permanecem sem correção oficial, exigindo atenção redobrada de administradores de sistemas.
O que isso muda na prática
Vulnerabilidades classificadas como críticas, com nota 9.8 de 10, geralmente indicam que um invasor não precisa de uma conta cadastrada no site para explorar o problema. Falhas de escalonamento de privilégios, por exemplo, permitem que um visitante comum assuma o controle total do painel de administração. Já as falhas de execução remota de código permitem injetar scripts maliciosos diretamente no servidor da hospedagem.
Para os administradores de sites WordPress, a recomendação primária é auditar a lista de extensões instaladas. O uso de componentes desatualizados ou abandonados é a principal porta de entrada para infecções por malware e sequestro de dados.
Falhas críticas afetam plugins populares
O relatório detalha 16 vulnerabilidades com nota 9.8 no sistema CVSS, todas envolvendo interações sem a necessidade de credenciais de acesso. Entre os destaques estão ferramentas amplamente adotadas na comunidade de desenvolvimento web.
O plugin Advanced Custom Fields: Extended nas versões anteriores a 0.9.2.7 corrigiu uma brecha que permitia a tomada de controle de contas de administrador. O Hummingbird Performance, voltado para otimização e cache, resolveu um problema de execução remota de código originado por falha no log de depuração em versões até a 3.21.0.
O sistema de formulários JetFormBuilder, em versões inferiores a 3.6.5.2, estava suscetível à execução arbitrária de shortcodes. Já o Amelia, solução premium de agendamentos nas versões 8.0 a 9.6.2, corrigiu uma vulnerabilidade de escalonamento de privilégios. Outros nomes relevantes na lista de severidade crítica incluem ACPT, Divi Ajax Filter, Mail Mint, MemberDash e a API do MStore.
XSS lidera o ranking de tipologias
A análise técnica das 277 falhas mapeadas na semana mostra a predominância de problemas de sanitização de dados. A injeção de scripts entre sites, conhecida como Cross-Site Scripting (XSS), foi o vetor mais comum, respondendo por 91 registros.
A ausência de validação de autorização adequada ficou em segundo lugar com 52 ocorrências, seguida por bypass de autorização em 19 casos e exposição indevida de informações sensíveis em 17 casos de vulnerabilidade reportados.
O cenário de atualizações indica um esforço ágil na mitigação dos problemas, já que 254 falhas receberam patches oficiais antes ou logo após a divulgação do relatório. No entanto, as 23 vulnerabilidades ainda não corrigidas reforçam a necessidade de adoção de firewalls de aplicação web e rotinas rígidas de monitoramento para proteger as instalações enquanto os desenvolvedores não liberam atualizações.
