Vulnerabilidade Crítica em Breeze Cache Abre Porta a Subidas de Arquivos sem Autenticação e RCE no WordPress

Uma vulnerabilidade crítica no plugin Breeze Cache para o WordPress permite que os atacantes aumentem arquivos arbitrários para o servidor sem autenticação, e já está sendo explorada na natureza: pesquisadores de segurança documentaram tentativas ativos de exploração que indicam digitalização automatizada e ataques direcionados contra sites que usam esta solução de cache.

O erro, registrado como CVE-2026-3844 e qualificado com pontuação de severidade de 9.8/10, nasce de uma falta de validação do tipo de arquivo na função encarregada de recuperar avatares remotos (“fetch_gravatar_from_remote”). Essa omissão pode permitir que um ator malicioso escreva arquivos no servidor - por exemplo um webshell - o que em cenários concretos abre a porta para execução remota de código (RCE) e a toma completa do site. É importante sublinhar que a exploração eficaz requer que a opção “Host Files Locally - Gravatars” esteja ativada, uma configuração que não vem habilitada por defeito em muitas instalações.

Breeze Cache, distribuído pela Cloudways, é um plugin popular com centenas de milhares de instalações ativas, e embora o número exato de sites vulneráveis esteja dependente de quantos tenham ativado a opção de hospedar tributares localmente, as tentativas observadas pela comunidade de segurança – mais de uma centena de acordo com a contagem pública – mostram que os atacantes procuram ativamente vetores fáceis para comprometer o WordPress. Os proprietários de sites devem assumir que o risco é real enquanto não se aplica a correção.

Cloudways lançou a versão 2.4.5 que corrige este problema; versões iguais ou anteriores à 2.4.4 são as afectadas. A medida mais imediata e eficaz é aplicar a atualização do plugin em todos os sites afetados. Se não puder actualizar imediatamente, desactive temporariamente o plugin ou, no mínimo, desactive a opção “Host Files Locally - Gravatars” até que possa adesivo. Você pode verificar o boletim técnico e detalhes da vulnerabilidade no aviso da equipe do Wordfence e revisar estatísticas do plugin no repositório oficial do WordPress para estimar alcance em seu ambiente: Wordfence – Aviso Técnico e página do plugin no WordPress.org.

Para administradores que gerem múltiplos sites ou ambientes de hospedagem partilhados, a resposta deve incluir mais do que uma atualização pontual: inspecione imediatamente as pastas de carga (wp-content/uploads) e qualquer pasta temporária em busca de arquivos com extensões suspeitas (.php ou outras não esperadas), verifique os logs de acesso para detectar pedidos incomuns para a função de gravatar e audite mudanças em arquivos recentes. Se houver indícios de compromisso, considere restaurar a partir de uma cópia de segurança limpa e rodar senhas e chaves API; a detecção precoce de um webshell pode poupar uma recuperação completa.

Além da resposta imediata, reforce a superfície de ataque: aplique políticas de permissões de arquivos restritivas, limite a execução do PHP em diretórios de subida, active um firewall de aplicação web (WAF) e considere soluções de digitalização contínua que alertem sobre cargas suspeitas ou modificações de arquivos. O guia oficial de endurecimento do WordPress oferece boas práticas que convém aplicar como parte de uma estratégia mais ampla de segurança: Endurecimento do WordPress.

Não subestime o risco operacional: uma exploração bem-sucedida pode resultar em perda de dados, injeção de conteúdo malicioso para usuários finais e sanções se o site processar dados sensíveis. Se a sua organização usar Breeze Cache em ambientes de produção, coordene a atualização em janelas de manutenção controladas, comunique a ação aos responsáveis pela segurança e monitorize as detecções de intrusão em 72 horas após a aplicação do adesivo.

Em resumo, actue já: atualize a versão 2.4.5 onde está disponível, ou desactive a funcionalidade de tributares locais até que possa adesivo; faça uma busca de artefatos maliciosos e reforce políticas de acesso e supervisão. A combinação de adesivos, detecção e endurecimento é a única maneira razoável de minimizar o impacto desta classe de vulnerabilidades no ecossistema WordPress.