Alerta de segurança: CVE-2026-8181 permite controle de administradores no WordPress via Burst Statistics (200,000 sites em risco)

Uma falha crítica no plugin Burst Statistics (CVE-2026-8181) está sendo explorada para obter acesso com privilégios de administrador no WordPress, o que converte sites que usam este plugin em objetivos de gerenciamento completo. Burst Statistics, promovido como uma alternativa leve e respeitosa à privacidade do Google Analytics e com presença em cerca de 200.000 instalações, introduziu o código vulnerável na versão 3.4.0 e este permaneceu também em 3.4.1.

A origem técnica do problema reside na forma como o plugin valida credenciais através da função interna do WordPress wp_ authenticate_ application_password(). O código de Burst Statistics interpreta respostas de erro (WP_Error) e valores nulos como se fossem autenticações válidas e então executa wp_ seset_current_ user() com o nome de usuário fornecido pelo atacante, o que permite suplantar qualquer administrador conhecido durante a execução de pedidos REST API.

Isto não é teoria: a API REST do WordPress inclui endpoints sensíveis como /wp-json/wp/v2/users e a autenticação básica manipulada pelo erro permite que um atacante forneça qualquer senha e ainda assim se faça passar pelo administrador indicado. Os nomes de usuário de administradores costumam ser expostos em comentários, entradas ou petições públicas, e quando não estão disponíveis podem ser adivinhar por força bruta, o que simplifica o trabalho do atacante.

As consequências práticas são severas: com privilégios admin um atacante pode criar contas administrativas fraudulentas, injetar portas traseiras em arquivos e base de dados, distribuir malware, redirigir tráfego, inserir conteúdo de SEO malicioso ou roubar dados confidenciais. Os pesquisadores do Wordfence confirmaram atividade maliciosa na natureza e reportam bloqueios massivos de tentativas de exploração; seu acompanhamento público documenta a campanha em curso e recomenda atualizar ou desativar o plugin imediatamente. Mais detalhes técnicos e alertas estão disponíveis na nota do Wordfence: Wordfence – Burst Statistics e em seu tracker de ameaças: Wordfence Threat Intel.

A medida imediata e não negociável para administradores afetados é atualizar para a versão alterada 3.4.2 publicada em 12 de maio de 2026 ou, se não for possível atualizar imediatamente, desativar o plugin até aplicar o adesivo. As estatísticas do WordPress que acompanham a publicação mostram dezenas de milhares de instalações que já baixaram a versão corrigida, mas ainda restam muitos sites potencialmente expostos: a página do plugin no repositório oficial documenta informações de downloads e versões: Burst Statistics – WordPress.org.

Se houver a menor suspeita de que o seu site foi comprometido, actue como se estivesse comprometido: coloque a web em manutenção ou a nível de acesso restrito, verifique a lista de usuários do painel e com base em dados para detectar contas administrativas novas ou desconhecidas e elimínelas, inspeccione arquivos e diretórios em busca de backdoors e mudanças recentes, compare com respaldos limpos e considere restaurar a partir de uma cópia anterior verificada. É crucial também rodar credenciais de administradores e senhas de base de dados, regenerar as chaves e sais do WordPress, e revisar registros de acesso web e logs de PHP para determinar a janela de compromisso.

Para reduzir o risco futuro, aplique medidas de endurecimento: limite o acesso à API REST quando não for necessário, implemente autenticação de dois fatores em contas de alto privilégio, imponha senhas robustas e nomes de usuário não triviais, remova plugins e temas sem uso, e implantação um firewall a nível de aplicação ou fornecedor de hospedagem que possa bloquear tentativas massivas de exploração. O guia oficial de endurecimento do WordPress é um bom ponto de partida: Hardening WordPress – WordPress.org.

Finalmente, documente o incidente e, se não tiver experiência interna suficiente, contacte o provedor de hospedagem ou uma equipe de resposta a incidentes para realizar uma análise forense, conter e erradicar qualquer persistência. Actualizar agora mesmo continua a ser a acção mais eficaz para cortar a campanha em curso; adiar a actualização aumenta drasticamente a probabilidade de sofrer uma intrusão que exija horas de limpeza e potencial perda de dados ou reputação.