Falhas no Core permitem ataque sem login em versões 6.9.x e 7.0.x.
Já existem exploits públicos para duas falhas críticas no WordPress Core, apelidadas de wp2shell. Elas atingem instalações nas versões 6.9.x e 7.0.x e podem permitir execução remota de código antes do login. A recomendação é aplicar imediatamente o WordPress 7.0.2 ou 6.9.5.
Foram liberados exploits públicos para as vulnerabilidades apelidadas de wp2shell, que atingem o WordPress Core. As falhas foram registradas como CVE-2026-63030 e CVE-2026-60137. Segundo o material divulgado, elas podem ser combinadas para que alguém sem conta no site execute código remotamente em instalações WordPress vulneráveis.
O ponto mais sensível é o escopo. O problema foi descrito em instalações padrão do WordPress, sem necessidade de plugins. A Searchlight Cyber, que encontrou as falhas, estima que mais de 500 milhões de sites usem WordPress. Isso não quer dizer que todos estejam vulneráveis, mas explica por que a correção precisa entrar na fila de prioridades.
Em termos práticos, execução remota de código significa que um invasor consegue fazer o servidor rodar comandos que jamais deveriam ser permitidos. Como o ataque é descrito como pré-autenticação, ele acontece antes de qualquer login administrativo — ou seja, sem depender de senha roubada.
As versões citadas como afetadas são o WordPress 6.9.x e o 7.0.x. A cadeia wp2shell junta duas falhas para chegar ao resultado mais grave: o controle indevido do ambiente. Num site real, isso abre espaço para alteração de páginas, instalação de arquivos maliciosos, criação de acessos não autorizados ou o uso do servidor como base para novos ataques.
O primeiro sinal é objetivo: a versão instalada. Se o seu site roda WordPress 6.9.x ou 7.0.x e ainda não recebeu as versões corrigidas, trate-o como exposto até prova em contrário.
Também vale revisar sinais operacionais que costumam aparecer depois de uma tentativa de invasão:
Sozinhos, esses sinais não confirmam a exploração da wp2shell, mas já são motivo suficiente para uma investigação imediata.
A orientação central é atualizar imediatamente para o WordPress 7.0.2 ou 6.9.5. O time de segurança do WordPress habilitou atualizações automáticas forçadas para instalações suportadas nas versões afetadas, mas ninguém deve confiar só nisso: confirme manualmente se a correção foi aplicada no seu ambiente.
Depois de atualizar, revise usuários, arquivos e backups. Se o site processa dados de clientes, formulários, pedidos ou áreas restritas, trate o caso como risco operacional real — uma invasão afeta disponibilidade, confiança do cliente e a continuidade do negócio.
Não necessariamente. A pesquisa citada afirma que as falhas atingem uma instalação padrão do WordPress, mesmo sem plugins.
A recomendação é atualizar imediatamente para o WordPress 7.0.2 ou 6.9.5, conforme a linha usada no seu ambiente.
Porque exploits públicos derrubam a barreira de entrada para ataques. Muito mais gente passa a conseguir explorar sites vulneráveis, inclusive sem acesso prévio.
Atualizar o WordPress é essencial, mas o controle de acesso reduz o estrago mesmo após uma tentativa de invasão. A MFA2GO ajuda empresas a fortalecer a autenticação, proteger contas administrativas e organizar acessos críticos.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com