Deixa 200 mil sites WordPress em risco de invasão

 

Uma falha crítica em plugins do WordPress colocou centenas de milhares de sites em risco de invasão nos últimos meses, com destaque para o plugin OttoKit (antigo SureTriggers). A vulnerabilidade permitia que atacantes criassem contas administrativas sem autenticação e assumissem o controle completo dos sites afetados.

O problema mais grave relacionado ao OttoKit foi identificado como CVE-2025-3102 e afetava instalações onde o plugin estava ativo, mas ainda sem configuração completa da chave de API. Nessas condições, invasores conseguiam contornar a autenticação e obter privilégios de administrador.

Segundo os relatos técnicos, os criminosos podiam:

criar usuários administradores ocultos;

instalar backdoors e malware;

alterar páginas e conteúdos;

redirecionar visitantes para golpes;

usar o site comprometido para campanhas de spam ou phishing.

Outra vulnerabilidade recente envolvendo plugins do WordPress atingiu o plugin Ally, usado em acessibilidade, expondo mais de 400 mil sites a ataques de injeção SQL.

Para quem administra sites WordPress, as recomendações imediatas são:

Atualizar todos os plugins para as versões mais recentes;

Remover plugins abandonados ou sem manutenção;

Revisar contas administrativas desconhecidas;

Ativar autenticação em dois fatores;

Monitorar logs e acessos suspeitos;

Utilizar firewall/WAF e backups automáticos.

Os pesquisadores alertam que ataques automatizados começaram poucas horas após a divulgação pública das falhas, o que aumentou o risco para sites desatualizados.

FONTE: TECMUNDO