Uma vulnerabilidade de alta gravidade no plugin All-in-One WP Migration and Backup pode permitir que atacantes não autenticados assumam o controle de sites WordPress vulneráveis. A falha, rastreada como CVE-2026-19949, afeta mais de 5 milhões de instalações ativas e foi corrigida na versão 7.110.
Mecanismo de ataque de segunda ordem
Diferente de um ataque típico de injeção de SQL, o código SQL malicioso não é executado imediatamente. Um atacante pode primeiro colocar um payload especialmente elaborado em um site WordPress por meio do recurso core trackback. Trackbacks podem ser enviados sem fazer login quando um post público aceita pings.
O atacante envia dados de trackback maliciosos com um nome de blog e URL cuidadosamente preparados. O WordPress armazena esses dados na tabela de comentários. Neste estágio, o payload permanece inativo e parece ser dados comuns relacionados a comentários. O ataque se torna perigoso quando um administrador do site exporta o site usando o plugin e depois o restaura.
Durante a restauração, o All-in-One WP Migration reescreve URLs e prefixos de tabelas de banco de dados em instruções SQL antes de importá-las. Uma falha no tratamento de expressões regulares do plugin com relação a barras invertidas e strings entre aspas pode fazer com que o payload armazenado escape de seu limite de string SQL pretendido.
Vazamento da chave secreta e comprometimento total
Como resultado, o conteúdo controlado pelo atacante pode se tornar SQL executável durante o processo de restauração do banco de dados. O SQL injetado pode recuperar a chave secreta ai1wm_secret_key do plugin, um valor secreto usado para proteger a ação de importação não autenticada do plugin.
O atacante pode então vazar essa chave secreta em um comentário aprovado e recuperá-la por meio da API REST pública do WordPress. Com a chave secreta, o atacante pode acessar o processo de importação do plugin e fazer upload de um arquivo .wpress malicioso. Um arquivo elaborado pode incluir um plugin WordPress must-use malicioso. Como os plugins must-use são carregados automaticamente, o código malicioso pode ser executado quando um visitante ou administrador abre uma página.
Isso pode conceder ao atacante execução remota de código no servidor e permitir um comprometimento total do site, incluindo a implantação de um webshell, roubo de dados ou instalação de malware adicional.
Escopo de impacto e adoção global
O All-in-One WP Migration and Backup é amplamente utilizado para exportar, importar, restaurar e migrar sites WordPress. Ele cria arquivos de archive .wpress contendo arquivos do site e dados do banco de dados. Com mais de 5 milhões de instalações ativas, o impacto potencial deste exploit é massivo, atingindo desde pequenos blogs até grandes agências digitais e empresas que utilizam WordPress como CMS principal.
A natureza do ataque exige que um administrador realize uma exportação seguida de uma importação após os trackbacks maliciosos terem sido plantados. Embora isso adicione um requisito de interação, operações de backup e restauração são tarefas rotineiras para muitos administradores de WordPress.
Linha do tempo da descoberta e resposta
O problema foi relatado à Wordfence em 14 de agosto de 2026 pelo pesquisador de segurança Jack Taylor através do Programa de Bug Bounty da Wordfence. Taylor recebeu uma recompensa de $5.761 por descobrir a vulnerabilidade, que recebeu uma pontuação CVSS de 8,8.
A ServMask reconheceu o relatório em 17 de agosto e lançou a versão 7.110 em 20 de agosto. A Wordfence implantou uma regra de firewall para usuários Premium, Care e Response em 16 de agosto de 2026. Usuários gratuitos da Wordfence devem receber a proteção em 15 de setembro de 2026.
Medidas de mitigação e auditoria
Proprietários de sites usando o All-in-One WP Migration and Backup devem atualizar imediatamente. É recomendado desativar trackbacks desnecessários, revisar comentários suspeitos e verificar se nenhum plugin não autorizado ou contas de administrador foram adicionados.
Administradores devem auditar os logs de acesso do servidor para identificar tentativas de upload de arquivos .wpress incomuns. A revisão regular de plugins instalados e a verificação de integridade de arquivos do núcleo do WordPress são práticas essenciais para prevenir a persistência de backdoors.
Implicações para desenvolvedores e administradores de CMS
Este incidente destaca a importância de validar rigorosamente todos os dados de entrada, mesmo aqueles que parecem benignos inicialmente, como comentários e trackbacks. Desenvolvedores de plugins devem implementar sanitização robusta e validação de saída em todas as etapas do ciclo de vida de dados.
Para administradores de WordPress, a lição é clara: manter plugins atualizados é crucial, pois falhas em ferramentas populares de backup e migração podem servir como vetores de entrada para ataques mais complexos.
Perguntas frequentes
É necessário fazer login para explorar a falha? Não, a fase inicial de plantio do payload via trackback é não autenticada. A exploração completa requer interação administrativa durante a restauração.
Quais versões são vulneráveis? Versões até e incluindo a 7.109 são vulneráveis. A versão 7.110 corrige o problema.
Como saber se meu site foi comprometido? Verifique a existência de arquivos .wpress desconhecidos, plugins não autorizados e alterações não planejadas em arquivos do núcleo ou banco de dados.