Um comunicado defensivo sobre vulnerabilidades com exploração confirmada em ataques reais (listadas no CISA KEV). Aqui está o que acontece, o que é afetado e como responder, sem instruções de ataque nem prova de conceito.
O ramo 6.8 não é afetado pela mesma cadeia de RCE
O comunicado oficial lista as duas CVEs para 6.9/7.0, mas apenas a CVE-2026-60137 para 6.8. A recomendação de atualizar para 6.8.6 não significa que esse ramo seja afetado pela CVE-2026-63030.
- CVE
- CVE-2026-63030 (confusão de rota, CWE-436) + CVE-2026-60137 encadeada (SQLi, CWE-89)
- Gravidade
- Crítica (CVSS 9.8) — explorada ativamente (CISA KEV; prazo de correção em 2026-07-24)
- Tipo
- Confusão de rota na REST API × injeção de SQL em author__not_in → SQLi não autenticada → RCE
- Impacto
- Injeção de SQL não autenticada, execução remota de código (RCE), roubo de dados
- Afetados
- 63030: versões 6.9.x / 7.0.x afetadas; 6.8.x é afetada apenas pela 60137
- Correção principal
- Atualizar para 6.8.6 / 6.9.5 / 7.0.2 ou superior
Alcançada sem autenticação
Confusão de rota na REST API (CWE-436)
Injeção de SQL via author__not_in
RCE e roubo de dados
Correção: atualizar para 6.8.6 / 6.9.5 / 7.0.2 ou superior
Por que não aplicar a correção é perigoso
Como a RCE é alcançável sem autenticação, sites públicos com WordPress são alvo de varreduras automatizadas em larga escala. Esta é uma falha no núcleo, não restrita a um plugin específico, por isso todo site em uma versão afetada está potencialmente no escopo. A CISA determinou que agências federais corrijam até 2026-07-24. "Somos pequenos demais para sermos alvo" não se sustenta.
O que é afetado
| Item | Detalhe |
|---|---|
| Alvo | Núcleo do WordPress |
| Versões afetadas | 6.8.0–6.8.5 (60137) / 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| Versão corrigida | 6.8.6 / 6.9.5 / 7.0.2 e superiores |
| Pré-condição | Nenhuma autenticação quando encadeada |
| Impacto alcançável | Injeção de SQL → execução remota de código (RCE); roubo de dados |
| Status | Ambas exploradas ativamente (CISA KEV; prazo de correção em 2026-07-24) |
Nota sobre as diferenças de pontuação de gravidade (nos dois lados)
A gravidade da CVE-2026-60137 isoladamente varia conforme a fonte. A WPScan a classifica com CVSS 5.9 (isoladamente, precisa que um plugin/tema repasse entrada não confiável para author__not_in — uma pré-condição de alcançabilidade), enquanto a CISA a classifica com 9.1. Encadeada com a confusão de rota da CVE-2026-63030, ela passa a ser alcançável diretamente pela REST API e efetivamente explorável sem autenticação (CVSS 9.8). A diferença reflete como cada fonte pontua a pré-condição de alcançabilidade; a resposta é a mesma — atualizar para a versão corrigida.
Como responder
Atualize o núcleo para 6.8.6 / 6.9.5 / 7.0.2+ (prioridade máxima)
Verifique se houve comprometimento (presuma que você foi alcançado antes de atualizar)
Defesa temporária até conseguir atualizar (defesa em profundidade)
Monitore CVEs do núcleo, plugins e temas de forma automatizada
A visão deste site: projete como se toda entrada fosse não confiável
Em sua essência, esta falha é uma entrada não confiável chegando a uma consulta por um caminho inesperado (confusão de rota). A injeção de SQL é eliminada ao usar sempre placeholders (prepared statements) e sempre sanitizar/validar a entrada, independentemente do caminho ou das pré-condições presumidas. A atualização é obrigatória, mas o que traz retorno a longo prazo é um design de "não confiar em nenhuma entrada" somado a uma rotina que monitora CVEs do núcleo e de plugins de forma automatizada e atualiza rapidamente.
Leia em seguida
- Glossário: o que é injeção de SQL / o que é RCE (execução remota de código) / o que é uma CVE
- Prática: o playbook de correção de CVEs (monitorar de forma automatizada e atualizar rápido)
- Todos os alertas: alertas de vulnerabilidade
Fontes e escopo
Estas referências primárias sustentam as configurações, o escopo ou as recomendações de correção discutidas acima; os links foram verificados em 23 de outubro de 2026. Consulte as condições de versão e configuração de cada uma. As prioridades e lições da lista de verificação são orientações deste site, não uma revalidação completa do artigo nem uma garantia de segurança.