WordPress vulnerável ao ataque wp2shell: checklist passo a passo para proteger seu site agora

Pesquisadores de segurança identificaram em 2026 duas falhas críticas no núcleo do WordPress — catalogadas como CVE-2026-63030 e CVE-2026-60137 e apelidadas de "wp2shell" — que permitem a um invasor executar código remotamente no servidor sem precisar de login ou senha. Segundo a equipe da Wiz Research e da NetSPI, que documentaram a vulnerabilidade, já há exploração ativa em sites reais, o que torna a correção urgente para quem administra um ou vários sites WordPress.

A boa notícia é que a correção é conhecida e relativamente simples de aplicar. A má notícia é que, enquanto o site não for atualizado, ele fica exposto. Se você cuida do próprio site, de uma loja ou de sites de clientes como freelancer ou agência, este checklist ajuda a fechar a porta rapidamente — na ordem certa.

1. Verifique a versão do WordPress e atualize agora

A correção oficial está na versão 7.0.2 do WordPress Core, lançada em julho de 2026 como atualização de segurança. No painel administrativo, vá em "Painel > Atualizações" e confirme se o site já está nessa versão ou em uma posterior. Se você gerencia vários sites, trate isso como prioridade máxima do dia — não como tarefa para "quando der tempo".

2. Enquanto não atualizar, aplique uma mitigação temporária

Se por algum motivo a atualização não puder ser feita imediatamente (um plugin incompatível, por exemplo), é possível reduzir o risco bloqueando as rotas exploradas pelo ataque: /wp-json/batch/v1 e ?rest_route=/batch/v1. Isso pode ser feito com uma regra personalizada de WAF ou ModSecurity no painel do servidor (no cPanel/WHM, isso é configurado na seção de regras do ModSecurity). Importante: essa é uma solução de emergência, que pode interferir em funcionalidades legítimas do site — trate-a como ponte até a atualização definitiva, nunca como substituto dela.

3. Confirme se o seu firewall de aplicação já cobre a falha

Se o site usa um firewall de aplicação web (WAF), verifique se ele já recebeu as regras específicas para essa vulnerabilidade. Fornecedores como Wordfence e Cloudflare já lançaram proteções dedicadas; usuários do plano gratuito do Wordfence, por exemplo, tiveram a atualização liberada com algumas semanas de atraso em relação aos planos pagos — vale confirmar manualmente se o seu caso já foi coberto, em vez de assumir que sim.

4. Procure sinais de invasão antes de respirar aliviado

Atualizar fecha a porta, mas não desfaz uma invasão que já tenha acontecido. Faça uma varredura por arquivos suspeitos no servidor (arquivos PHP com nomes estranhos em pastas de upload, por exemplo — um padrão clássico de "webshell") e revise a lista de usuários administradores do WordPress em busca de contas que você não reconheça. Na dúvida, um backup limpo anterior ao período de exposição é a forma mais segura de reverter qualquer dano.

5. Se você cuida de vários sites de clientes, priorize por exposição

Agências e freelancers que administram várias instalações de WordPress devem tratar isso como uma lista de triagem: comece pelos sites com loja online ou formulários que coletam dados de clientes, depois os institucionais, e deixe os ambientes de teste/staging por último. Ter os sites organizados em um painel único — em vez de acessos espalhados e esquecidos — é o que torna esse tipo de resposta rápida viável em primeiro lugar.

Erros comuns a evitar

Alguns deslizes tornam esse tipo de falha mais perigosa do que precisa ser: deixar a atualização automática do WordPress desativada "para não quebrar nada"; confiar apenas no WAF sem nunca aplicar a correção definitiva; não ter um backup recente e automático, o que transforma qualquer limpeza pós-invasão em um trabalho manual demorado; e usar o mesmo usuário e senha de administrador em vários sites, o que faz uma única invasão se espalhar.

Como isso se conecta com a infraestrutura do seu site

Esse tipo de episódio é um bom lembrete de por que alguns cuidados básicos de hospedagem fazem diferença no dia a dia: backup automático recorrente (para poder reverter rápido se precisar), certificado SSL sempre ativo e um painel único para gerenciar múltiplos sites de clientes sem perder a visão geral de quem já está atualizado e quem ainda não está. Quem usa Elementor Pro para montar o site também deve lembrar que manter o construtor de páginas e os plugins atualizados é parte do mesmo cuidado — a falha é no núcleo do WordPress, mas um ecossistema desatualizado em volta dele amplia o risco.

Fontes consultadas

cPanel Support — artigo técnico sobre a vulnerabilidade wp2shell (CVE-2026-63030 e CVE-2026-60137); Wiz Research — análise sobre exploração ativa da falha; NetSPI — visão técnica sobre o RCE pré-autenticação no núcleo do WordPress.