O que é
Em 17 de julho de 2026, o NVD publicou a CVE-2026-63030, uma falha crítica no WordPress core. A comunidade batizou a cadeia de WP2Shell: confusão de rota no REST API batch (/?rest_route=/batch/v1) + injeção SQL no parâmetro author__not_in (CVE-2026-60137), levando a execução remota de código sem autenticação.
Exploração
- 20 de julho: CrowdSec vê as primeiras explorações e libera regra de detecção.
- 21 de julho: a CISA coloca a CVE no catálogo KEV, com prazo federal até 24 de julho.
- Severidade CVSS 9.8, com PoC e template Nuclei públicos. Em poucos dias, milhares de IPs distintos passaram a varrer a internet.
Versões afetadas e correção
Afeta WordPress 6.9.x antes de 6.9.5 e 7.0.x antes de 7.0.2. A correção sai nessas versões. Como é falha no core, não depende de plugin: qualquer site desatualizado na internet é alvo.
O que fazer
Atualize imediatamente para 7.0.2 ou 6.9.5, confira se o auto-update realmente aplicou (incluindo staging e hosts gerenciados) e monitore o endpoint REST batch. Para PMEs e agências, isso é prioridade máxima: WordPress roda cerca de um terço da web.