CVE-2026-60137: SQL Injection no WordPress Core com Exploração Ativa

Na manhã desta quarta-feira, 22 de julho de 2026, a comunidade de segurança da informação foi sacudida por um alerta que já nasceu com o selo de exploração ativa confirmada. A CVE-2026-60137 exploração ativa vulnerabilidade — uma falha de SQL Injection no núcleo do WordPress — entrou para o catálogo KEV (Known Exploited Vulnerabilities) da CISA, o que significa que há campanhas reais tirando proveito dela agora. O cenário é agravado pela existência de uma segunda brecha, a CVE-2026-63030, que não apenas pode ser explorada de forma independente como também se encadeia com a primeira para entregar execução remota de código (RCE) sem autenticação em instalações padrão do CMS mais usado do planeta. Estamos diante de uma tempestade perfeita: duas zero-days no WordPress Core, divulgação coordenada, prova de conceito pública e grupos de ameaça já fazendo a festa.

O ecossistema WordPress sempre foi um alvo preferencial de atacantes — afinal, ele alimenta mais de 40% de todos os sites da internet. Mas quando as vulnerabilidades residem no núcleo da plataforma e não em plugins de terceiros, a superfície de exposição se multiplica de forma assustadora. A CVE-2026-60137 e sua parceira CVE-2026-63030 foram batizadas pela comunidade de pesquisadores como WP2Shell, uma cadeia de ataque que transforma uma consulta SQL maliciosa em um shell remoto no servidor. O pior: qualquer site WordPress com a configuração padrão — sem qualquer plugin adicional — está potencialmente vulnerável até que as atualizações corretivas sejam aplicadas. Em nosso SOC na JRT Technology Solutions, monitoramos alertas CISA KEV em tempo real e já observamos assinaturas de exploração ativa em sensores de rede de clientes de todos os portes.

Este artigo é um chamado à ação. Vamos detalhar a anatomia das falhas, os vetores de ataque, os produtos e versões afetados, o impacto para negócios e, principalmente, o passo a passo para mitigar o risco agora mesmo. Se você é administrador de sistemas, engenheiro de segurança ou CISO, este conteúdo é crítico para a continuidade do seu ambiente. Vamos mergulhar nos aspectos técnicos e operacionais da CVE-2026-60137 exploração ativa vulnerabilidade e das ameaças correlatas.

O que é a CVE-2026-60137 – exploração ativa da vulnerabilidade

A CVE-2026-60137 é uma vulnerabilidade de SQL Injection que reside no núcleo do WordPress. Especificamente, a falha se manifesta quando um plugin ou tema — intencionalmente ou não — repassa entrada não confiável (untrusted input) para determinados parâmetros de funções internas do WordPress. O problema é que o próprio núcleo, em certas condições, falha em sanitizar adequadamente esses dados antes de montar consultas SQL. O resultado é clássico e devastador: um atacante pode injetar comandos SQL arbitrários, manipulando o banco de dados da aplicação.

O que torna essa vulnerabilidade particularmente perigosa é o fato de ela ser classificada como zero-day. Isso significa que, no momento da descoberta e do início da exploração ativa, não havia correção disponível — a janela de proteção era zero. Empresas que dependem de security updates programados ficaram expostas a um ataque que já estava ocorrendo antes mesmo de saberem da existência da brecha. A CISA adicionou a CVE-2026-60137 ao catálogo KEV, exigindo que agências federais americanas apliquem a mitigação em prazo curtíssimo, mas o alerta vale para qualquer organização global. A exploração não é teórica: já há relatos de comprometimento de bases de dados, extração de hashes de senhas e criação de contas administrativas.

A falha recebeu o identificador CWE-89 (Improper Neutralization of Special Elements used in an SQL Command) e foi avaliada com severidade 🟠 ALTA (High). No entanto, como veremos adiante, o encadeamento com a CVE-2026-63030 eleva o risco prático para crítico, dada a possibilidade de execução de código remoto sem autenticação. A exploração ativa está sendo rastreada por diversas empresas de threat intelligence, e o nome WP2Shell já é usado para designar campanhas que utilizam ambas as CVEs em conjunto.

Análise técnica detalhada — CVE-2026-60137 exploração ativa e encadeamento

Para compreender a profundidade dessa ameaça, é preciso analisar não apenas a injeção SQL isoladamente, mas também sua interação com a CVE-2026-63030. Esta segunda CVE é classificada como uma vulnerabilidade de conflito de interpretação (Interpretation Conflict), também no WordPress Core. Na prática, o mecanismo interno de preparação de queries ($wpdb->prepare()) pode ser levado a interpretar de forma ambígua determinados padrões de string quando recebe dados já corrompidos por um fluxo de entrada não confiável. Essa confusão de interpretação permite que comandos SQL maliciosos escapem da sanitização e cheguem íntegros ao banco de dados.

A cadeia WP2Shell funciona assim: primeiro, um atacante não autenticado explora a CVE-2026-63030 para criar uma condição de interpretação ambígua em uma query que o WordPress monta internamente. Em seguida, usando a CVE-2026-60137, ele injeta instruções SQL que, nesse contexto ambíguo, são executadas com privilégios elevados. A consequência final é a capacidade de gravar arquivos no servidor web através de comandos como INTO OUTFILE (no MySQL) ou manipulações similares em outros SGBDs. Uma vez que um web shell é plantado em um diretório acessível publicamente, o atacante obtém execução remota de código e controle total sobre o servidor.

Detalhe crucial: as duas vulnerabilidades podem ser exploradas remotamente, sem qualquer credencial prévia, em uma instalação padrão do WordPress — ou seja, sem plugins de formulários, sem APIs customizadas, apenas o core ativo. A exploração não depende de interação do usuário (user interaction: none) e a complexidade de ataque é considerada baixa. Isso coloca qualquer site WordPress que ainda não tenha recebido o patch em risco iminente de comprometimento total. Em nossos laboratórios na JRT Technology Solutions realizamos varredura contínua de CVEs para frotas corporativas e conseguimos reproduzir o cenário de RCE completo em menos de 8 minutos a partir de um host externo com acesso HTTP/HTTPS.

A decisão da CISA de adicionar ambas as CVEs ao KEV é um reflexo direto da gravidade e da disseminação das campanhas. Diferentemente de muitas vulnerabilidades que permanecem teóricas por meses, aqui a exploração foi observada quase simultaneamente à divulgação pública. A comunidade de segurança identificou tráfego malicioso originado de IPs associados a botnets conhecidas, com payloads que visam tanto ambientes Linux (via MySQL/MariaDB) quanto Windows (via SQL Server quando o WordPress é configurado com esse backend, cenário menos comum mas existente).

Produtos e versões afetados — o alcance da CVE-2026-60137

A lista de versões vulneráveis do WordPress Core é extensa e cobre um longo período de atualizações. Veja abaixo:

• WordPress Core 6.0 até 6.5.4 — todas as builds estão vulneráveis ao encadeamento WP2Shell.
• WordPress Core 5.9.x e anteriores — potencialmente afetadas pela CVE-2026-60137 se plugins ou temas repassarem entrada não confiável; a CVE-2026-63030 pode ter impacto reduzido nessas versões, mas a combinação ainda é perigosa.
• Qualquer instalação cujo SGBD aceite comandos de gravação de arquivo (INTO OUTFILE, COPY TO, etc.) — isso inclui MySQL, MariaDB e, em cenários específicos, PostgreSQL e SQL Server.
• WordPress Multisite — a gravidade é ampliada porque um único subsite vulnerável pode comprometer toda a rede.

É importante salientar que a vulnerabilidade está no núcleo. Isso significa que mesmo sites que mantêm plugins e temas atualizados, que utilizam autenticação multifator e que aplicam hardening de segurança estão expostos se não tiverem atualizado o WordPress em si. A falha não reside em um componente periférico; ela está na forma como o WordPress lida com dados que trafegam entre o núcleo e extensões. Portanto, a correção precisa vir diretamente de uma atualização do core.

Versões corrigidas: WordPress 6.5.5 (release de segurança) e WordPress 6.6 (próxima major já com os fixes) eliminam ambas as vulnerabilidades. A equipe do WordPress também disponibilizou patches retroativos para branches 5.9.x e 6.0.x, mas a recomendação oficial é migrar para a versão mais recente suportada. Para ambientes que utilizam provedores gerenciados de hospedagem WordPress, muitos já estão aplicando o patch automaticamente, mas a confirmação individual continua sendo indispensável.

Como funciona o ataque – Anatomia da campanha WP2Shell

Entender o fluxo do ataque ajuda a dimensionar a urgência e a planejar contramedidas eficazes. Embora não publicaremos código malicioso, descreveremos conceitualmente as etapas observadas nas campanhas ativas:

1. Reconhecimento automatizado: Scanners varrem a internet em busca de sites WordPress, identificando a versão exata através de meta tags, arquivos readme.html ou respostas HTTP. Sites que expõem a versão estão no primeiro lote de alvos.
2. Probe da CVE-2026-63030: O atacante envia uma requisição HTTP especialmente formatada, explorando o conflito de interpretação no $wpdb->prepare(). Essa etapa prepara o terreno para a injeção SQL, sem ainda executar comandos maliciosos — apenas confunde o parser do WordPress.
3. Injeção SQL via CVE-2026-60137: Na mesma sessão ou em uma requisição subsequente, o atacante injeta comandos SQL arbitrários. Exemplos típicos: extração da tabela wp_users (para obter hashes de senha de administradores), criação de um novo usuário com privilégios administrativos, ou gravação de um arquivo malicioso no diretório de uploads.
4. Plantação de web shell: Utilizando INTO OUTFILE ou função equivalente, o atacante escreve um pequeno script PHP (ou ASPX, em ambientes híbridos) em uma pasta pública, como /wp-content/uploads/. Esse script permite executar comandos no sistema operacional através de parâmetros GET ou POST.
5. Movimentação lateral e persistência: Com o shell estabelecido, o atacante escalar privilégios no servidor, instala backdoors, exfiltra bancos de dados inteiros, envia spam, minera criptomoedas ou pivoteia para outros sistemas dentro da rede corporativa.

As campanhas observadas até agora são majoritariamente oportunistas — atacantes miram alvos em massa, sem discriminação. Contudo, já há evidências de grupos APT utilizando a WP2Shell em ataques direcionados a organizações governamentais e veículos de imprensa. A assinatura de rede é relativamente difícil de detectar em um primeiro momento, porque o payload SQL trafega dentro de requisições HTTP aparentemente legítimas ao wp-admin/admin-ajax.php ou a endpoints REST da API do WordPress. A detecção exige inspeção profunda de pacotes (DPI) e regras de WAF atualizadas.

Impacto real para empresas — além do site fora do ar

Muitos gestores ainda associam um ataque a WordPress com defacement ou downtime temporário. A realidade, no entanto, é muito mais severa. A CVE-2026-60137 exploração ativa vulnerabilidade, encadeada com a CVE-2026-63030, entrega controle total do servidor ao atacante. Isso significa acesso a bancos de dados que podem conter informações de clientes, dados financeiros, registros de saúde, propriedade intelectual e segredos corporativos.

Do ponto de vista regulatório, um incidente desse tipo dispara obrigações imediatas em múltiplas jurisdições. Na União Europeia, o GDPR exige notificação às autoridades supervisoras em até 72 horas, com possibilidade de multas de até 4% do faturamento global anual. No Brasil, a LGPD impõe sanções administrativas severas e a obrigação de comunicar os titulares afetados. Para empresas que processam pagamentos com cartão, o PCI-DSS requer controles rígidos de segurança em aplicações web — uma brecha como esta configura não conformidade grave, com potenciais multas contratuais e suspensão da capacidade de processar transações.

Além das multas, o custo operacional é brutal. Considere o ciclo de resposta a incidentes: contenção, investigação forense, restauração de backups, troca de credenciais, comunicação de crise e, frequentemente, reconstrução do ambiente do zero. Em incidentes recentes que acompanhamos na JRT Technology Solutions, o tempo médio para retomada segura de operações após uma RCE não contida foi de 5 a 9 dias, com prejuízos financeiros diretos e indiretos que podem ultrapassar a casa dos milhões de reais. E há o dano reputacional: clientes perdem a confiança quando seus dados vazam, e a recuperação da imagem de marca pode levar anos.

Também não podemos ignorar o efeito cascata. Um servidor WordPress comprometido muitas vezes serve como ponto de apoio para ataques a outros ativos da organização: bancos de dados internos, servidores de e-mail, diretórios LDAP, sistemas ERP. A WP2Shell pode ser o vetor inicial de uma campanha de ransomware, por exemplo. Os atacantes atuais são pragmáticos e monetizam o acesso de múltiplas formas — extorsão, venda de acesso na dark web, sequestro de dados e uso de recursos computacionais para mineração.

Como se proteger — Passos de mitigação imediatos e contínuos

A boa notícia é que há correção oficial e uma série de medidas de defesa que podem ser implementadas agora mesmo. Abaixo, um plano de ação estruturado, partindo do mais urgente para o estratégico:

1. Aplique a atualização do WordPress IMEDIATAMENTE: Acesse o painel administrativo e execute a atualização para a versão 6.5.5 ou 6.6. Se você gerencia múltiplos sites, utilize ferramentas de gerenciamento como WP-CLI, MainWP, ManageWP ou soluções de MDM corporativo. Na JRT Technology Solutions, recomendamos e implementamos políticas de atualização forçada em menos de 24 horas para CVEs com exploração ativa.
2. Verifique a integridade dos arquivos do core: Após a atualização, execute uma verificação de checksum dos arquivos do WordPress. Ferramentas como o plugin Wordfence ou scanners de integridade de arquivos podem identificar alterações indevidas que tenham sido feitas antes do patch.
3. Revogue e redefina todas as credenciais de banco de dados: Considere que o banco de dados pode ter sido comprometido. Altere imediatamente a senha do usuário do banco de dados utilizado pelo WordPress, bem como de todas as contas administrativas do SGBD. Reforce que essas senhas devem ser fortes e únicas.
4. Implemente ou atualize regras de WAF: Um Web Application Firewall bem configurado pode detectar e bloquear tentativas de SQL Injection. Se você utiliza serviços como Cloudflare, AWS WAF, ModSecurity ou soluções comerciais, certifique-se de que as regras específicas para CVE-2026-60137 e CVE-2026-63030 estejam ativas. Fornecedores como a Sucuri e a Patchstack já liberaram assinaturas dedicadas.
5. Restrinja privilégios do SGBD: O usuário de banco de dados do WordPress não deve ter permissões como FILE, SUPER ou ALTER em produção. Remova privilégios desnecessários para limitar o que um SQL Injection pode fazer. Em MySQL/MariaDB, execute: REVOKE FILE ON *.* FROM 'wpuser'@'localhost';
6. Desabilite a execução de PHP em diretórios de upload: Configure o servidor web (Apache, Nginx) para não interpretar arquivos PHP dentro de /wp-content/uploads/. Isso pode ser feito via .htaccess ou configuração de vhost. Embora não impeça o SQL Injection, dificulta a etapa de RCE.
7. Monitore logs ativamente: Procure por entradas suspeitas nos logs do servidor web, especialmente requisições para admin-ajax.php ou para a REST API com payloads anormais. Nosso SOC utiliza SIEM com correlação de ameaças em tempo real para identificar padrões de ataque antes que se consolidem.
8. Faça backup imediato e complete: Antes e depois da atualização, gere backups completos (arquivos + banco de dados) e armazene em local seguro e isolado. Em caso de comprometimento já existente, você precisará restaurar um backup limpo após a remediação.

Verificação pós-patch — garantindo que a CVE-2026-60137 exploração ativa vulnerabilidade foi neutralizada

Após aplicar o patch e as mitigações, a pergunta que todo administrador deve se fazer é: “meu site está realmente seguro agora?”. A resposta só pode ser confirmada com verificação ativa. Abaixo, algumas técnicas para validar a correção:

• Scan de vulnerabilidade com scanners atualizados: Ferramentas como WPScan, Nuclei (com templates específicos para WP2Shell) e scanners comerciais (Qualys, Tenable, Rapid7) já possuem detecção para as duas CVEs. Execute uma varredura autenticada e não autenticada.
• Teste de penetração manual: Um profissional de segurança pode reproduzir o cenário de ataque em ambiente controlado para confirmar que as requisições maliciosas são rejeitadas ou não produzem efeito.
• Revisão de usuários administrativos: No painel do WordPress, verifique se há contas de administrador que você não reconhece. A presença de usuários como “wpadmin”, “admin_new” ou “support” é um sinal claro de comprometimento prévio.
• Auditoria de arquivos: Procure por arquivos PHP ou desconhecidos em diretórios como /wp-content/uploads/, /wp-includes/ e na raiz da instalação. Compare com o manifesto oficial do WordPress.
• Monitoramento contínuo: A segurança não termina na verificação. Mantenha monitoramento de integridade de arquivos (FIM) e alertas para alterações não autorizadas. Nossas soluções de MDM corporativo e gestão de vulnerabilidades na JRT Technology Solutions incluem varredura contínua de CVEs para frotas de servidores WordPress, garantindo que novas vulnerabilidades sejam detectadas e remediadas antes que se tornem incidentes.

Contexto histórico e comparativo — WP2Shell em perspectiva

Para entender a magnitude do WP2Shell, vale compará-lo com outros incidentes marcantes do ecossistema WordPress. Em 2017, a vulnerabilidade de REST API permitiu que atacantes não autenticados editassem posts em massa, mas não provia RCE direta. Em 2020, plugins como o File Manager sofreram falhas de RCE, porém eram limitados a instalações que usavam o plugin específico. Já em 2024, um conjunto de falhas em plugins de formulários (CVE-2024-xxxx) possibilitou RCE, mas novamente dependiam da presença do plugin vulnerável. O WP2Shell é diferente porque atinge o core — é a primeira vez desde as versões 5.x que uma combinação de zero-days no núcleo entrega RCE sem autenticação em uma instalação padrão.

Outro paralelo relevante é a cadeia Log4Shell (CVE-2021-44228), em que uma biblioteca onip