Hackers já estão utilizando duas falhas críticas recentemente corrigidas no WordPress para invadir websites que não foram atualizados. Empresas especializadas em cibersegurança confirmaram que esses ataques já estão ocorrendo.
Hackers já estão utilizando duas falhas críticas recentemente corrigidas no WordPress para invadir websites que não foram atualizados. Empresas especializadas em cibersegurança confirmaram que esses ataques já estão ocorrendo.
O aviso sobre as vulnerabilidades surgiu poucos dias depois que o WordPress lançou os patches e recomendou que os administradores atualizassem seus sites imediatamente. Para agilizar a aplicação das correções, a plataforma também ativou atualizações automáticas em instalações compatíveis.
Pesquisadoras em segurança cibernética, incluindo Patchstack, Hexastrike e WatchTowr, detectaram que criminosos já estão explorando essas falhas contra sites que mantêm as versões comprometidas.
As vulnerabilidades afetam especificamente as versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1 do WordPress. Embora estatísticas oficiais indiquem que mais de 400 milhões de sites usavam essas versões, esse número pode incluir instalações já atualizadas.
Daniel Card, consultor de cibersegurança, analisou uma amostra de cerca de 4.200 sites e concluiu que menos de 15% ainda estavam vulneráveis. Caso essa estimativa seja representativa do universo total de instalações, cerca de 90 milhões de sites permaneceriam suscetíveis aos ataques.
O pesquisador apontou vários elementos que contribuíram para a diminuição desse número de vulnerabilidades. Entre eles estão as atualizações automáticas fornecidas pelo próprio WordPress, bloqueios de ataques implementados pela Cloudflare, o uso de firewalls e outras ferramentas de proteção, além das correções já realizadas pelos administradores dos sites.
Uma das falhas foi identificada por Adam Kues, da Searchlight Cyber, e recebeu o nome de “WP2Shell”. Segundo Kues, ao combinar esta vulnerabilidade com a segunda falha corrigida pelo WordPress, os invasores adquirem o controle remoto total dos sites afetados.
Enquanto os ataques persistem, os sites que continuam rodando versões vulneráveis do WordPress permanecem abertos a essas brechas. A recomendação oficial da plataforma é que sejam instaladas as atualizações mais recentes para sanar os problemas.
O X implementará um novo sistema de alerta, notificando diretamente por mensagem privada (DM) todos os usuários que interagiram com uma publicação que recebeu uma correção através de uma Nota da Comunidade. Essa mudança foi anunciada por Elon Musk, proprietário da rede social, em uma postagem feita na própria plataforma, sem que uma data específica para o lançamento da atualização tenha sido divulgada.
Atualmente, quando um usuário curte, compartilha ou responde a um conteúdo que possui uma Nota da Comunidade, ele já recebe um aviso tanto no aplicativo quanto na versão web do X. Contudo, essas notificações só são disparadas após a nota ser considerada útil e permanecer visível por um período mínimo de 24 horas. Os criadores dos posts corrigidos também são alertados, mas somente após a nota estar ativa por pelo menos seis horas.
A modificação proposta por Musk consiste em transformar este aviso em uma mensagem direta, utilizando o X Chat, em vez de uma notificação padrão. A justificativa para essa alteração reside no fato de que as mensagens diretas são consideradas mais difíceis de serem ignoradas do que as notificações convencionais, o que deve aumentar a probabilidade de os usuários terem ciência de conteúdos potencialmente falsos.
O X incorporou as Notas da Comunidade como seu principal método de combate à desinformação em 2022, dois anos após o recurso ter sido introduzido sob o nome Birdwatch. Este modelo opera com base em correções colaborativas realizadas pelos próprios usuários, sem depender de uma moderação centralizada.
Um estudo publicado na revista Nature Communications em maio de 2026 avaliou 237.180 «cascatas» — termo utilizado para descrever publicações com Notas da Comunidade e seus respectivos compartilhamentos. A pesquisa indicou que, apesar de as Notas da Comunidade serem bastante eficazes na redução do alcance de um conteúdo após a anotação, elas frequentemente surgem tardiamente para impedir a disseminação inicial e mais viral da informação.
O modelo de notas colaborativas não se restringe ao X. Em 2025, a Meta suspendeu seu sistema de checagem de fatos terceirizado nos Estados Unidos e começou a testar as Notas da Comunidade no Facebook, Instagram e Threads. Além disso, o próprio X ajustou sua metodologia, permitindo que colaboradores das Notas da Comunidade solicitem que uma inteligência artificial (IA) elabore o rascunho inicial de uma nota, em vez de redigi-la manualmente.
