Hackers estão explorando uma falha crítica de segurança no WooCommerce Wholesale Lead Capture, um plugin premium do WordPress com mais de 6.000 instalações ativas, para enviar backdoors em PHP e obter execução remota de código.
A vulnerabilidade é identificada como
CVE-2026-27540
, tem pontuação CVSS de 9,8 e afeta todas as versões do plugin até a 2.0.3.1, inclusive. Descoberta pelo pesquisador de segurança Teemu Saarentaus, a falha permite upload arbitrário de arquivos sem autenticação.
“Essa vulnerabilidade pode ser usada por atacantes não autenticados para enviar arquivos arbitrários, incluindo backdoors em PHP, e obter execução remota de código”, afirmou a Wordfence.
Com isso, um invasor pode enviar webshells em PHP, executar código e potencialmente comprometer totalmente o site. O problema ocorre por causa da ausência de validação do tipo de arquivo em uma ação AJAX sem autenticação chamada wwlc_file_upload_handler. Segundo a Wordfence, a verificação das extensões é feita com base em uma lista permitida fornecida pelo parâmetro file_settings, controlado pelo usuário, o que permite adicionar “php” aos tipos autorizados e fazer o plugin aceitar uploads de arquivos executáveis em PHP.
A vulnerabilidade foi corrigida na versão 2.0.3.2 do plugin WooCommerce Wholesale Lead Capture, lançada em 20 de fevereiro. Mesmo assim, a empresa de segurança para WordPress informou que bloqueou mais de 100.000 tentativas de exploit contra a falha desde junho de 2026, sendo 99 delas registradas nas últimas 24 horas. A atividade de exploração disparou entre 4 e 17 de junho, além de novos picos em 1º de julho e 30 de agosto.
No ataque observado pela Wordfence, os threat actors enviaram requisições preparadas para a ação AJAX wwlc_file_upload_handler, com um parâmetro file_settings forjado e um arquivo PHP malicioso chamado shell.php.
“O arquivo shell.php enviado é uma webshell em PHP que informa detalhes do host e oferece um formulário de upload via navegador para gravar arquivos maliciosos adicionais no site WordPress comprometido”, explica a Wordfence.
O Wordfence também forneceu uma lista de endereços IP de maior risco, responsáveis por dezenas de milhares de tentativas de exploração. As tentativas partiram dos seguintes endereços IP:
92.241.13.213
31.59.129.150
2a0f:85c1:840:5389::1
92.241.13.140
23.137.105.214
23.180.120.140
104.194.9.138
187.75.114.36
114.10.43.203
37.114.144.209
A recomendação é adicionar esses IPs à lista de bloqueio e atualizar o plugin para a versão 2.0.3.2 ou posterior, que corrige o problema de segurança. Como uma exploração bem-sucedida permite o envio de arquivos PHP arbitrários, os administradores de sites WordPress também devem verificar a presença de arquivos .php inesperados ou criados recentemente, principalmente no diretório de uploads, e revisar requisições suspeitas para /wp-admin/admin-ajax.php com o parâmetro de ação definido como wwlc_file_upload_handler.
Os pesquisadores ainda recomendam examinar os logs em busca de solicitações que acionem wwlc_file_upload_handler e remover contas de administrador desconhecidas. Se o comprometimento for confirmado, a ação recomendada é restaurar o site a partir de um backup seguro, já que remover todos os mecanismos de persistência, usuários e backdoors pode ser uma tarefa complexa.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...