Sumário
O Contact Form 7, plugin de formulários instalado em mais de 10 milhões de sites WordPress, tem uma falha com nota 9,8 de 10. O registro CVE-2026-114432 foi publicado em 8 de novembro de 2026 na base do NIST (NVD), com a WPScan como fonte. A correção já existe: a versão 6.2.4.
Segundo o registro, as versões da 6.2 até a 6.2.3 não validam o tipo nem a extensão dos arquivos enviados por um campo de anexo do formulário. Uma falha na limpeza dos arquivos temporários deixa o arquivo no servidor. Na prática, qualquer visitante, sem login, consegue gravar arquivos no site.
Quando a falha vira invasão
O risco maior está em servidores Apache com a configuração padrão do Debian ou do Ubuntu, que listam o conteúdo das pastas e executam arquivos .phar como PHP. Nesse cenário, o atacante localiza o arquivo enviado e roda código no servidor (execução remota de código).
Em outras configurações, como nginx ou Apache com regras de .htaccess ativas, o estrago fica limitado a um arquivo gravado na pasta de uploads. Mesmo assim, esse arquivo pode ser aberto como página HTML ou imagem SVG dentro do próprio domínio do site, o que serve de isca para golpes.
| Item | Dado |
|---|---|
| Nota de gravidade (CVSS 3.1, CISA) | 9,8 |
| Versões afetadas | 6.2 a 6.2.3 |
| Versão com correção | 6.2.4 |
| Versão atual no WordPress.org | 6.2.4.1 |
| Instalações ativas | mais de 10 milhões |
| Publicação no NVD | 08/11/2026 |
Fonte: NVD/NIST e página do plugin no WordPress.org, consultadas em 09/11/2026.
O que isso muda para a sua empresa ou o seu site
Quem está na versão 6.2 a 6.2.3 e tem formulário com campo de anexo corre o risco maior, mas vale conferir hoje em qualquer caso.
- No painel do WordPress, em Plugins, veja a versão do Contact Form 7 e atualize para a 6.2.4 ou superior, com backup antes.
- Peça à hospedagem para desativar a listagem de pastas e procure arquivos estranhos (.php, .phar, .html, .svg) na pasta de uploads do formulário.
- Se o formulário não precisa receber anexos, retire o campo de arquivo.
O formulário é por onde chegam os pedidos de orçamento e, também, os ataques. Uma rotina de manutenção de sites com atualização, backup e monitoramento evita que um aviso como esse vire prejuízo.
Comente
Os comentários passam por moderação. Seja respeitoso: ataques pessoais, discurso de ódio e propaganda não são publicados.