Uma vulnerabilidade grave descoberta no núcleo do WordPress permite que um visitante anônimo implante um script malicioso através de um comentário aparentemente inofensivo. Se um administrador logado acessar a página contendo esse comentário, o atacante consegue executar código arbitrário no servidor — um cenário que combina XSS com execução remota de código (RCE). A falha, rastreada como CVE-2026-93485 [VERIFICAR] e apelidada de “Comment2Shell,” foi corrigida no WordPress 7.1.1 [VERIFICAR], lançado em 17 de setembro [VERIFICAR], mas exigiu ação imediata de milhões de proprietários de sites.
Por Que Esse Ataque é Especialmente Perigoso
A maioria dos comentários em WordPress passa por filtros de segurança rigorosos, justamente porque permite entrada de dados não confiáveis. No entanto, essa vulnerabilidade explorava uma lacuna na sanitização de entrada antes da renderização e armazenamento. Um atacante poderia estruturar um comentário de forma a contornar essas proteções, inserindo JavaScript que permaneceria dorminhoco até o momento crítico: quando um administrador — que possui privilégios elevados no banco de dados — carregasse aquela página.
Nesse instante, o script executaria no contexto da sessão do admin, significando que teria acesso às mesmas permissões daquele usuário. Não é apenas roubo de dados; é potencial acesso completo ao servidor, instalação de backdoors e comprometimento permanente do site.
por volta de R$ 272,09 · conferido em 24/09/2026Mouse Gamer Com Fio Logitech G502 Hero, RGB Lightsync, 11 Botões Programáveis, Sensor Hero 25k, Ajustes De Peso, PretoA Cadeia de Ataque: Do Comentário ao Shell
A exploração segue um caminho bem definido:
- Injeção inicial — O atacante publica um comentário com payload XSS cuidadosamente construído, contornando filtros padrão
- Armazenamento silencioso — O script é salvo no banco de dados sem ser detectado como malicioso
- Ativação pela sessão admin — Um administrador acessa a página ou dashboard contendo aquele comentário
- Execução privilegiada — O JavaScript dispara dentro do navegador do admin, aproveitando sua sessão autenticada
- Escalação para RCE — Através de vulnerabilidades complementares ou falhas no tratamento de requisições, o script consegue executar comandos no servidor
Esse último passo é o que diferencia Comment2Shell de um XSS comum. Enquanto XSS típico fica confinado ao navegador, essa falha abre portão para manipulação direta do servidor.
Quem Está em Risco
Qualquer site WordPress que permite comentários públicos — a configuração padrão — está vulnerável até a atualização. Isso inclui:
- Blogs pessoais e corporativos
- Portais de notícia
- Fóruns baseados em WordPress
- Lojas WooCommerce que aceitam avaliações em comentários
O risco é amplificado em sites onde administradores acessam regularmente a página de moderação de comentários, pois esse é exatamente o cenário em que o payload dispara.
Como o WordPress Corrigiu a Falha
A equipe do WordPress implementou sanitização adicional no fluxo de processamento de comentários, garantindo que caracteres potencialmente perigosos fossem escapados antes da renderização no HTML. A correção também inclui validações mais rigorosas no nível do banco de dados, evitando que payloads problemáticos sejam armazenados em primeiro lugar.
Passos Imediatos para Proprietários de Sites
Se você administra um site WordPress, a ação não é opcional:
- Atualize agora para 7.1.1 ou superior [VERIFICAR] — visite Painel > Atualizações e instale imediatamente
- Modere comentários pendentes — revise qualquer comentário recebido antes da atualização, especialmente aqueles com HTML ou caracteres estranhos
- Desabilite comentários temporariamente — se não puder atualizar de imediato, desative comentários até que o site esteja protegido
- Audite sua base de dados — em sites comprometidos, procure por scripts suspeitos dentro de comentários aprovados
- Monitore atividades admin — verifique logs de login para detectar acessos não autorizados durante o período vulnerável
Contexto Mais Amplo: Vulnerabilidades em Plugins vs. Core
Embora o WordPress core seja auditado regularmente, vulnerabilidades nele reverberam por todo o ecossistema — afetando não apenas um site, mas potencialmente milhões deles. Falhas em plugins são comuns, mas podem ser corrigidas ou desinstaladas isoladamente. Vulnerabilidades no core exigem coordenação global e atualização sincronizada.
Comment2Shell ilustra por que manter o WordPress atualizado não é uma sugestão, é uma obrigação de segurança. Uma falha desse calibre pode transformar um simples comentário de visitante em porta de entrada para roubo de dados, instalação de ransomware ou destruição completa do site.
Para validar que seu site está utilizando comentários seguros e de forma apropriada, use nosso Validador de JSON caso trabalhe com APIs que processam dados de comentários, ou consulte nosso Verificador de IP para auditar acessos suspeitos aos seus logs.
Fontes
The Hacker News – WordPress Comment2Shell Flaw
