Vulnerabilidade Crítica no WordPress Permite RCE e Criação de Admin Via Injeção SQL; Descoberta com Ajuda de IA

Esta vulnerabilidade crítica no WordPress explora uma série de falhas encadeadas. Tudo começa com um SQL injection pré-autenticação na API de batch do WordPress, introduzida na versão 5.6 em 2020. A falha reside na forma como a API de batch processa validação e execução: em vez de serem seriais, são divididas em dois loops. Uma requisição malformada pode dessincronizar esses loops, fazendo com que a validação de um endpoint seja aplicada a outro, desarmando as proteções de sanitização.

Essa dessincronização permite contornar a validação do parâmetro `author__not_in` no endpoint `GET /wp/v2/posts`. Normalmente, este parâmetro exige um array de inteiros, mas a dessincronização permite injetar um valor escalar que não é filtrado, levando à injeção SQL. Para superar a restrição de que a API de batch não suporta requisições `GET`, os atacantes usam a mesma técnica de dessincronização recursivamente, validando o método de requisição contra um endpoint que não o verifica. Com o SQL injection inicial estabelecido, a vulnerabilidade escala para RCE através de uma técnica de “envenenamento de cache” e abuso dos `customize_changesets`. O atacante falsifica objetos `WP_Post` na memória, força a criação de entradas `oembed_cache` no banco de dados e as converte em posts regulares. Finalmente, ele injeta código PHP malicioso em `customize_changesets`, que são executados quando o WordPress processa as configurações de tema, resultando em execução remota de código.

Em 20 de julho de 2026, o CEVIU News publicou um alerta sobre uma falha crítica de RCE pré-autenticação no WordPress Core. A notícia de hoje aprofunda esse alerta, revelando os detalhes técnicos da exploração. O que era um aviso geral sobre uma vulnerabilidade grave agora inclui a explicação completa do encadeamento de ataques, que vai desde o SQL injection até o controle total do site. Além disso, a matéria detalha o aspecto mais inovador da descoberta: o uso do GPT5.6 Sol Ultra, uma inteligência artificial avançada, para identificar e desenvolver a exploração, algo que não havia sido divulgado no alerta inicial.

Esta vulnerabilidade é um sinal de alerta severo para a segurança digital. Milhões de sites WordPress estão expostos, e a natureza pré-autenticação da falha significa que qualquer atacante pode explorá-la sem precisar de credenciais. O CEVIU News tem acompanhado o aumento de vulnerabilidades de RCE, como a do ServiceNow em 16 de julho de 2026, e no Cursor IDE em 5 de julho de 2026. A descoberta desta falha por uma IA como o GPT5.6 Sol Ultra eleva a discussão sobre o papel da inteligência artificial na cibersegurança. A IA é uma ferramenta poderosa, capaz de desvendar explorações complexas, como já destacamos em matérias sobre vulnerabilidades em agentes de IA do GitHub em 11 de julho de 2026 e a técnica HalluSquatting na mesma data. Isso ressalta a importância de vigilância contínua e da aplicação imediata de atualizações de segurança.