Plugin do WordPress com 60 mil sites tem falha crítica

Sumário

1. Os números da falha
2. Por que a nota é tão alta
3. O que isso muda para a sua empresa ou o seu site
4. Informação para o seu negócio, no seu e-mail

Uma falha com nota 9,8 de 10 atinge o Ultra Addons for Contact Form 7, plugin do WordPress usado em mais de 60 mil sites. O registro CVE-2026-102435 foi publicado em 2 de novembro de 2026 na base do NIST, com a Wordfence como responsável pela divulgação.

O problema está nas versões até a 3.5.54. Quem atualizou para a 3.5.55 ou posterior já está protegido.

Segundo o registro, um atacante sem login pode apagar arquivos do servidor. Se o arquivo apagado for o wp-config.php, o site pode ser tomado por completo. A falha depende do módulo PDF Generator ativo e de um formulário configurado para gerar PDF.

Os números da falha

Item	Dado
Nota de gravidade (CVSS 3.1)	9,8
Versões afetadas	até 3.5.54
Versão com correção	3.5.55
Versão atual	3.5.57
Instalações ativas	60 mil
Divulgação pública	02/11/2026

Fonte: NVD/NIST e Wordfence (CVE-2026-102435) e página do plugin no WordPress.org, consultadas em 04/11/2026.

Por que a nota é tão alta

A nota 9,8 reflete três fatores. O ataque é feito pela internet, não exige senha e não depende de nenhum clique do dono do site.

A correção saiu em 11 de outubro. O aviso público veio só em 2 de novembro, como é praxe: o prazo dá tempo para os sites atualizarem antes que o detalhe técnico circule.

O que isso muda para a sua empresa ou o seu site

Se o seu formulário de contato usa esse complemento, confira hoje. A atualização é gratuita e leva poucos minutos.

• Entre no painel do WordPress, em Plugins, e veja a versão do Ultra Addons for Contact Form 7.
• Se estiver na 3.5.54 ou abaixo, atualize para a versão mais recente.
• Se não usa a geração de PDF, desative esse módulo.
• Faça um backup antes de atualizar e teste o envio do formulário depois.
• Ative a atualização automática de plugins que não quebram o layout.

Plugin desatualizado é a porta de entrada mais comum em sites WordPress. Uma rotina de manutenção de sites com atualização, backup e monitoramento evita que um aviso como esse vire prejuízo.