Uma falha de travessia de diretório descoberta no WordPress está sendo explorada em ataques reais logo após sua divulgação pública. Identificada como CVE-2026-87902 [VERIFICAR], a vulnerabilidade permite que atacantes remotos e não autenticados executem código arbitrário diretamente no servidor, comprometendo sites inteiros sem necessidade de credenciais de acesso.
O cenário é preocupante: não há período de carência seguro. Diferentemente de vulnerabilidades que levam dias ou semanas para ser exploradas em larga escala, essa falha foi alvo de ataques coordenados praticamente no mesmo dia em que o aviso técnico foi publicado. Isso significa que administradores que não atualizarem seus sistemas imediatamente — ou pior, que não conseguirem atualizar por algum motivo — estão expostos a riscos severos.
O que é a vulnerabilidade CVE-2026-87902?
A falha funciona através de um mecanismo conhecido como path traversal (travessia de caminho). Em termos práticos: um atacante consegue navegar por pastas do servidor para além das restrições normais de segurança, acessando arquivos e diretórios que não deveria poder alcançar. No caso do WordPress, essa brecha permite não apenas ler arquivos sensíveis, mas também gravar e executar código malicioso diretamente no servidor.
por volta de R$ 7.505,00 · conferido em 23/09/2026Xbox Series X 1tb Físico 2 Controles Novo Lacrado Com NfeO aspecto mais grave é que a exploração não requer autenticação. Você não precisa ter uma conta no site, não precisa de permissões, não precisa de nada além de uma conexão à internet. Qualquer pessoa com conhecimento técnico básico consegue lançar o ataque contra qualquer WordPress vulnerável.
Por que o WordPress foi alvo tão rapidamente?
Existem razões técnicas e práticas para isso:
- Base de usuários massiva: WordPress alimenta aproximadamente 43% de todos os sites na internet. Um único exploit funcional significa acesso potencial a milhões de máquinas.
- Comunidade de pesquisa de segurança ativa: Quando uma falha crítica é divulgada publicamente, pesquisadores e, infelizmente, também criminosos digitais investigam imediatamente para confirmar e testar.
- Ferramentas de exploit públicas: Dentro de poucas horas após a divulgação, código de prova de conceito (PoC) costuma aparecer em repositórios e fóruns, facilitando ataques em massa.
- Histórico de WordPress: O projeto tem tradição de receber ataques generalizados logo após divulgações de falhas críticas, pois muitos sites rodam versões desatualizadas.
Como funciona o ataque na prática
O atacante envia uma requisição HTTP cuidadosamente construída para o servidor, explorando a falha de travessia de diretório. Em vez de acessar apenas os arquivos intendidos, a requisição consegue “subir” níveis de pastas usando sequências especiais (como ../ repetidamente) ou outras técnicas de manipulação de caminho.
Uma vez dentro do sistema de arquivos, o invasor pode:
- Localizar o arquivo
wp-config.php, que contém credenciais do banco de dados - Injetar um shell web (arquivo PHP malicioso) que fica residente no servidor
- Usar esse acesso para criar contas administrativas falsas
- Instalar backdoors para manter acesso mesmo após patches serem aplicados
- Roubar dados de usuários, posts, comentários e informações sensíveis
Tudo isso sem deixar muita evidência de autenticação, já que o ataque ocorre ao nível do sistema de arquivos, contornando os mecanismos de login normais do WordPress.
Quem está em risco?
Basicamente, qualquer site WordPress que:
- Ainda rode uma versão anterior à que corrige CVE-2026-87902 [VERIFICAR]
- Não receba atualizações automáticas ativadas
- Esteja em servidor compartilhado (onde outras aplicações também rodem)
- Não possua firewall WAF (Web Application Firewall) configurado
Estima-se que centenas de milhares de sites já foram comprometidos nos dias seguintes à divulgação, baseado em buscas por indícios de exploração em logs de segurança compartilhados.
O que fazer agora
Prioridade máxima:
- Se você administra WordPress, atualize imediatamente para a versão corrigida [VERIFICAR]. Não espere pelo fim de semana, não adie para “quando tiver tempo”.
- Ative atualizações automáticas (configuração padrão no WordPress moderno, mas verificar nunca é demais).
- Se o seu host não permite atualizações automáticas, mude para um que permita, ou coloque um gerenciador de sites como Jetpack ou All-in-One WP Security.
Investigação:
- Se você não sabe quando foi a última atualização do seu site, conecte-se via SFTP ou painel de controle e verifique o número da versão em “Sobre o WordPress”.
- Verifique logs de acesso (geralmente em
/var/log/apache2/ou/var/log/nginx/) procurando por requisições contendo../ou sequências suspeitas. - Se perceber uploads estranhos em
/wp-content/,/wp-uploads/ou qualquer outro diretório, considere uma auditoria de segurança profissional.
Proteção extra:
- Configure um firewall WAF que bloqueie padrões de path traversal automaticamente.
- Implemente limitação de taxa (rate limiting) para requisições HTTP.
- Mantenha backups regulares fora do servidor, testando restauração periodicamente.
Ponte com ferramentas de segurança
Se você precisa auditar a configuração de rede do seu servidor WordPress — verificar IPs, sub-redes de acesso permitido ou calcular blocos CIDR para whitelist — use nossa Calculadora de CIDR. Ela ajuda a configurar restrições precisas de firewall, bloqueando requisições de fora do seu intervalo de IP corporativo, camada extra de proteção contra exploração remota.
O padrão se repete
Esse ciclo — divulgação rápida, exploração rápida, pressão nos admins — virou norma no WordPress. A raiz é que a plataforma é tão difundida que qualquer falha crítica afeta economia real: e-commerce caem, blogs perdem dados, credenciais são roubadas. Por isso, a recomendação aqui não é sugestão: é imperativo. Atualize agora.
