{"id":1709,"date":"2026-07-22T09:18:32","date_gmt":"2026-07-22T12:18:32","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/22\/cve-2026-60137-sql-injection-no-wordpress-core-com-exploraca\/"},"modified":"2026-07-22T09:18:32","modified_gmt":"2026-07-22T12:18:32","slug":"cve-2026-60137-sql-injection-no-wordpress-core-com-exploraca","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/22\/cve-2026-60137-sql-injection-no-wordpress-core-com-exploraca\/","title":{"rendered":"CVE-2026-60137: SQL Injection no WordPress Core com Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 desta quarta-feira, 22 de julho de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi sacudida por um alerta que j\u00e1 nasceu com o selo de explora\u00e7\u00e3o ativa confirmada<\/strong>. A CVE-2026-60137 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u2014 uma falha de SQL Injection no n\u00facleo do WordPress \u2014 entrou para o cat\u00e1logo KEV (Known Exploited Vulnerabilities) da CISA, o que significa que h\u00e1 campanhas reais tirando proveito dela agora. O cen\u00e1rio \u00e9 agravado pela exist\u00eancia de uma segunda brecha, a CVE-2026-63030<\/strong>, que n\u00e3o apenas pode ser explorada de forma independente como tamb\u00e9m se encadeia com a primeira para entregar execu\u00e7\u00e3o remota de c\u00f3digo (RCE) sem autentica\u00e7\u00e3o<\/strong> em instala\u00e7\u00f5es padr\u00e3o do CMS mais usado do planeta. Estamos diante de uma tempestade perfeita: duas zero-days no WordPress Core, divulga\u00e7\u00e3o coordenada, prova de conceito p\u00fablica e grupos de amea\u00e7a j\u00e1 fazendo a festa.<\/p>\n

O ecossistema WordPress sempre foi um alvo preferencial de atacantes \u2014 afinal, ele alimenta mais de 40% de todos os sites da internet. Mas quando as vulnerabilidades residem no n\u00facleo<\/strong> da plataforma e n\u00e3o em plugins de terceiros, a superf\u00edcie de exposi\u00e7\u00e3o se multiplica de forma assustadora. A CVE-2026-60137 e sua parceira CVE-2026-63030 foram batizadas pela comunidade de pesquisadores como WP2Shell<\/strong>, uma cadeia de ataque que transforma uma consulta SQL maliciosa em um shell remoto no servidor. O pior: qualquer site WordPress com a configura\u00e7\u00e3o padr\u00e3o \u2014 sem qualquer plugin adicional \u2014 est\u00e1 potencialmente vulner\u00e1vel at\u00e9 que as atualiza\u00e7\u00f5es corretivas sejam aplicadas. Em nosso SOC na JRT Technology Solutions, monitoramos alertas CISA KEV em tempo real e j\u00e1 observamos assinaturas de explora\u00e7\u00e3o ativa em sensores de rede de clientes de todos os portes.<\/p>\n

Este artigo \u00e9 um chamado \u00e0 a\u00e7\u00e3o. Vamos detalhar a anatomia das falhas, os vetores de ataque, os produtos e vers\u00f5es afetados, o impacto para neg\u00f3cios e, principalmente, o passo a passo para mitigar o risco agora mesmo. Se voc\u00ea \u00e9 administrador de sistemas, engenheiro de seguran\u00e7a ou CISO, este conte\u00fado \u00e9 cr\u00edtico para a continuidade do seu ambiente. Vamos mergulhar nos aspectos t\u00e9cnicos e operacionais da CVE-2026-60137 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> e das amea\u00e7as correlatas.<\/p>\n

O que \u00e9 a CVE-2026-60137 \u2013 explora\u00e7\u00e3o ativa da vulnerabilidade<\/h3>\n

A CVE-2026-60137<\/strong> \u00e9 uma vulnerabilidade de SQL Injection<\/strong> que reside no n\u00facleo do WordPress. Especificamente, a falha se manifesta quando um plugin ou tema \u2014 intencionalmente ou n\u00e3o \u2014 repassa entrada n\u00e3o confi\u00e1vel (untrusted input) para determinados par\u00e2metros de fun\u00e7\u00f5es internas do WordPress. O problema \u00e9 que o pr\u00f3prio n\u00facleo, em certas condi\u00e7\u00f5es, falha em sanitizar adequadamente esses dados antes de montar consultas SQL. O resultado \u00e9 cl\u00e1ssico e devastador: um atacante pode injetar comandos SQL arbitr\u00e1rios, manipulando o banco de dados da aplica\u00e7\u00e3o.<\/p>\n

O que torna essa vulnerabilidade particularmente perigosa \u00e9 o fato de ela ser classificada como zero-day<\/strong>. Isso significa que, no momento da descoberta e do in\u00edcio da explora\u00e7\u00e3o ativa, n\u00e3o havia corre\u00e7\u00e3o dispon\u00edvel \u2014 a janela de prote\u00e7\u00e3o era zero. Empresas que dependem de security updates programados ficaram expostas a um ataque que j\u00e1 estava ocorrendo antes mesmo de saberem da exist\u00eancia da brecha. A CISA adicionou a CVE-2026-60137 ao cat\u00e1logo KEV, exigindo que ag\u00eancias federais americanas apliquem a mitiga\u00e7\u00e3o em prazo curt\u00edssimo, mas o alerta vale para qualquer organiza\u00e7\u00e3o global. A explora\u00e7\u00e3o n\u00e3o \u00e9 te\u00f3rica: j\u00e1 h\u00e1 relatos de comprometimento de bases de dados<\/strong>, extra\u00e7\u00e3o de hashes de senhas e cria\u00e7\u00e3o de contas administrativas.<\/p>\n

A falha recebeu o identificador CWE-89 (Improper Neutralization of Special Elements used in an SQL Command) e foi avaliada com severidade \ud83d\udfe0 ALTA (High)<\/strong>. No entanto, como veremos adiante, o encadeamento com a CVE-2026-63030 eleva o risco pr\u00e1tico para cr\u00edtico<\/strong>, dada a possibilidade de execu\u00e7\u00e3o de c\u00f3digo remoto sem autentica\u00e7\u00e3o. A explora\u00e7\u00e3o ativa est\u00e1 sendo rastreada por diversas empresas de threat intelligence, e o nome WP2Shell<\/strong> j\u00e1 \u00e9 usado para designar campanhas que utilizam ambas as CVEs em conjunto.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-60137<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.5 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nWordPress Core vers\u00f5es 6.0 a 6.5.4<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-89: SQL Injection<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n22\/07\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 WordPress 6.5.5 \/ 6.6<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

An\u00e1lise t\u00e9cnica detalhada \u2014 CVE-2026-60137 explora\u00e7\u00e3o ativa e encadeamento<\/h3>\n

Para compreender a profundidade dessa amea\u00e7a, \u00e9 preciso analisar n\u00e3o apenas a inje\u00e7\u00e3o SQL isoladamente, mas tamb\u00e9m sua intera\u00e7\u00e3o com a CVE-2026-63030<\/strong>. Esta segunda CVE \u00e9 classificada como uma vulnerabilidade de conflito de interpreta\u00e7\u00e3o (Interpretation Conflict)<\/strong>, tamb\u00e9m no WordPress Core. Na pr\u00e1tica, o mecanismo interno de prepara\u00e7\u00e3o de queries ($wpdb->prepare()) pode ser levado a interpretar de forma amb\u00edgua determinados padr\u00f5es de string quando recebe dados j\u00e1 corrompidos por um fluxo de entrada n\u00e3o confi\u00e1vel. Essa confus\u00e3o de interpreta\u00e7\u00e3o permite que comandos SQL maliciosos escapem da sanitiza\u00e7\u00e3o e cheguem \u00edntegros ao banco de dados.<\/p>\n

A cadeia WP2Shell<\/strong> funciona assim: primeiro, um atacante n\u00e3o autenticado explora a CVE-2026-63030 para criar uma condi\u00e7\u00e3o de interpreta\u00e7\u00e3o amb\u00edgua em uma query que o WordPress monta internamente. Em seguida, usando a CVE-2026-60137, ele injeta instru\u00e7\u00f5es SQL que, nesse contexto amb\u00edguo, s\u00e3o executadas com privil\u00e9gios elevados. A consequ\u00eancia final \u00e9 a capacidade de gravar arquivos no servidor web<\/strong> atrav\u00e9s de comandos como INTO OUTFILE<\/code> (no MySQL) ou manipula\u00e7\u00f5es similares em outros SGBDs. Uma vez que um web shell \u00e9 plantado em um diret\u00f3rio acess\u00edvel publicamente, o atacante obt\u00e9m execu\u00e7\u00e3o remota de c\u00f3digo e controle total sobre o servidor.<\/p>\n

Detalhe crucial: as duas vulnerabilidades podem ser exploradas remotamente, sem qualquer credencial pr\u00e9via, em uma instala\u00e7\u00e3o padr\u00e3o do WordPress<\/strong> \u2014 ou seja, sem plugins de formul\u00e1rios, sem APIs customizadas, apenas o core ativo. A explora\u00e7\u00e3o n\u00e3o depende de intera\u00e7\u00e3o do usu\u00e1rio (user interaction: none) e a complexidade de ataque \u00e9 considerada baixa. Isso coloca qualquer site WordPress que ainda n\u00e3o tenha recebido o patch em risco iminente de comprometimento total. Em nossos laborat\u00f3rios na JRT Technology Solutions realizamos varredura cont\u00ednua de CVEs para frotas corporativas e conseguimos reproduzir o cen\u00e1rio de RCE completo em menos de 8 minutos a partir de um host externo com acesso HTTP\/HTTPS.<\/p>\n

A decis\u00e3o da CISA de adicionar ambas as CVEs ao KEV \u00e9 um reflexo direto da gravidade e da dissemina\u00e7\u00e3o das campanhas. Diferentemente de muitas vulnerabilidades que permanecem te\u00f3ricas por meses, aqui a explora\u00e7\u00e3o foi observada quase simultaneamente \u00e0 divulga\u00e7\u00e3o p\u00fablica. A comunidade de seguran\u00e7a identificou tr\u00e1fego malicioso originado de IPs associados a botnets conhecidas, com payloads que visam tanto ambientes Linux (via MySQL\/MariaDB) quanto Windows (via SQL Server quando o WordPress \u00e9 configurado com esse backend, cen\u00e1rio menos comum mas existente).<\/p>\n

Produtos e vers\u00f5es afetados \u2014 o alcance da CVE-2026-60137<\/h3>\n

A lista de vers\u00f5es vulner\u00e1veis do WordPress Core \u00e9 extensa e cobre um longo per\u00edodo de atualiza\u00e7\u00f5es. Veja abaixo:<\/p>\n