Quem administra um site WordPress usando Elementor Pro ganhou mais um motivo para abrir o painel de atualizações antes de terminar o café. Pesquisadores de segurança divulgaram detalhes de uma vulnerabilidade crítica no plugin que pode permitir a execução remota de código sem que o invasor precise estar autenticado.
A vulnerabilidade recebeu o identificador CVE-2026-32475 e uma pontuação CVSS de 9,0 em uma escala que vai até 10. Na prática, estamos falando de uma falha capaz de transformar um recurso bastante comum de envio de arquivos em uma porta de entrada para arquivos PHP maliciosos.
O problema afeta versões do Elementor Pro até a 4.2.1. A correção foi disponibilizada na versão 4.2.2, lançada em 19 de agosto de 2026. Para quem utiliza o plugin, portanto, atualizar deixou de ser apenas aquela tarefa que fica acumulando notificações no painel.
O problema está em um recurso bastante comum do Elementor Pro
De acordo com a Patchstack, a vulnerabilidade está localizada no campo File Upload do módulo Forms do Elementor Pro. Esse recurso permite criar formulários nos quais visitantes podem anexar documentos, imagens e outros tipos de arquivos.
É justamente aí que a situação fica interessante, no pior sentido possível.
A verificação da extensão do arquivo e a etapa responsável por mover esse arquivo para o diretório público são executadas em processos separados. O problema aparece porque esses processos tratam entradas vazias de maneiras diferentes.
Um invasor pode explorar essa inconsistência enviando duas partes de arquivo para o mesmo campo do formulário. Com isso, torna se possível contornar o bloqueio de extensões perigosas e gravar um arquivo PHP em um diretório publicamente acessível do WordPress.
Ou seja, um campo criado para receber currículos, comprovantes ou fotografias pode acabar recebendo algo bem menos amigável.
Ataque pode acontecer sem autenticação
Esse é provavelmente o detalhe que torna a CVE-2026-32475 especialmente preocupante. O invasor não precisa possuir uma conta válida no WordPress para tentar explorar a vulnerabilidade.
Quando o ataque funciona, arquivos arbitrários podem ser enviados ao servidor, incluindo scripts PHP. Como esses arquivos ficam armazenados em um diretório acessível pela internet, o invasor pode posteriormente executar o código enviado.
Isso abre caminho para execução remota de código no servidor. Dependendo das permissões e da configuração da hospedagem, as consequências podem incluir comprometimento do site, instalação de malware, criação de acessos persistentes e manipulação de conteúdo.
A exploração exige, porém, uma condição específica. O site precisa possuir pelo menos uma página publicada no Elementor contendo um widget Form com um campo File Upload.
Não parece exatamente uma configuração exótica.
Formulários para envio de currículo, abertura de chamados, anexos de comprovantes, documentos, fotografias e identificações utilizam justamente esse tipo de campo.
Segundo a Patchstack, o fato de a opção Required desse campo permanecer desativada por padrão também significa que nenhuma configuração particularmente incomum é necessária para criar um cenário vulnerável.
Arquivo PHP pode parar dentro da pasta de uploads
Durante a exploração, o arquivo enviado pode ser armazenado dentro do diretório wp-content/uploads/elementor/forms/, recebendo um nome gerado pela função uniqid() do PHP.
O problema não é simplesmente conseguir colocar um arquivo no servidor. Sites recebem uploads todos os dias.
A diferença é conseguir colocar um arquivo PHP executável em um local público depois de contornar a validação criada justamente para impedir extensões perigosas.
Nesse cenário, uma funcionalidade legítima passa a funcionar como mecanismo para execução remota de código. É o tipo de bug que mostra como pequenas diferenças na lógica de validação podem produzir consequências bastante maiores do que o código original provavelmente sugeria.
Elementor Pro recebeu correção na versão 4.2.2
A vulnerabilidade foi descoberta pelo pesquisador Tin Pham, também conhecido como TF1T, e reportada por meio do programa de recompensas da Patchstack.
O problema foi comunicado à equipe do Elementor Pro em 16 de julho de 2026. Pouco mais de um mês depois, em 19 de agosto, a versão 4.2.2 foi disponibilizada com a correção.
Administradores que ainda utilizam a versão 4.2.1 ou anterior devem atualizar o plugin.
E vale lembrar um detalhe básico que continua sendo ignorado em muitos ambientes WordPress: possuir uma solução de segurança instalada não substitui atualizações. Um firewall pode reduzir riscos e bloquear determinadas tentativas, mas manter software vulnerável em produção continua sendo uma aposta desnecessária.
WordPress também corrigiu outra vulnerabilidade de execução de código
A descoberta envolvendo o Elementor Pro acontece poucos dias depois de outra atualização importante para o ecossistema WordPress.
O WordPress 7.0.4 foi lançado para corrigir a CVE-2026-65640, vulnerabilidade classificada com pontuação CVSS de 8,8. Nesse caso, o problema poderia permitir execução remota de código por meio do envio de um arquivo PostScript malicioso.
A falha afeta versões do WordPress Core desde a 4.7 até a 7.0.
Diferentemente do problema encontrado no Elementor Pro, essa vulnerabilidade exige que o atacante possua uma conta com permissão upload_files, disponível para usuários com determinados níveis de acesso, como autores.
Também é necessário que o servidor utilize Imagick e Ghostscript, já que o problema está relacionado ao processamento de determinados arquivos incorporados pelo Ghostscript.
A atualização modifica a forma como o WordPress entrega arquivos de mídia enviados ao ImageMagick, fechando um caminho que poderia transformar um arquivo aparentemente comum em um mecanismo para executar código no servidor.
Sites com vários autores merecem atenção
Pode parecer que exigir uma conta de autor reduz drasticamente o risco da segunda vulnerabilidade. Em determinados sites, reduz mesmo. Mas não elimina o problema.
Portais com vários autores, comunidades, projetos com colaboradores, sites de clientes e plataformas com processos de cadastro menos restritivos podem possuir uma superfície de ataque consideravelmente maior.
Em um WordPress administrado exclusivamente por uma pequena equipe confiável, a exposição tende a ser menor. Em ambientes onde dezenas ou centenas de pessoas possuem permissões para enviar arquivos, a história muda.
É mais uma demonstração de que segurança no WordPress não depende apenas da versão instalada. A arquitetura de permissões e a maneira como usuários utilizam o sistema também importam.
Sites WordPress continuam sendo alvo valioso
As vulnerabilidades surgem enquanto pesquisadores acompanham também uma operação em larga escala chamada StopAndProtect.
A campanha utiliza milhares de sites WordPress comprometidos como parte de uma infraestrutura distribuída para entrega de malware, comunicação com servidores de comando e controle e armazenamento de informações roubadas.
Não significa que a vulnerabilidade do Elementor Pro esteja necessariamente ligada à operação. O ponto importante é outro: instalações WordPress comprometidas continuam sendo ativos úteis para criminosos.
Um site invadido pode servir para muito mais do que trocar a página inicial por alguma mensagem adolescente de hacker de filme ruim. Pode hospedar malware, redirecionar visitantes, distribuir conteúdo malicioso e participar silenciosamente de outras campanhas.
O que fazer se você usa Elementor Pro
A prioridade é verificar imediatamente a versão instalada do Elementor Pro. Sites executando a versão 4.2.1 ou anterior devem migrar para a versão 4.2.2 ou posterior.
Também vale revisar páginas que possuem formulários com campos de upload, principalmente aquelas disponíveis publicamente. Diretórios de uploads devem ser analisados em busca de arquivos PHP inesperados e outras modificações que não tenham sido realizadas pela equipe responsável pelo site.
Contas administrativas ou de autores desconhecidos, plugins instalados sem autorização, redirecionamentos estranhos e pop ups inesperados também merecem investigação.
Manter WordPress, temas e plugins atualizados continua sendo uma das medidas mais simples para reduzir a superfície de ataque. Não resolve todos os problemas de segurança, claro, porque seria bom demais para ser verdade.
Mas quando existe uma vulnerabilidade crítica conhecida, uma correção já está disponível e o ataque pode acontecer sem autenticação, deixar a atualização para depois é basicamente oferecer ao problema tempo para encontrar você.
