Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma vulnerabilidade de severidade máxima foi divulgada no plugin Bricksforge para WordPress, afetando todas as versões até a 3.1.8.9, inclusive. Registrada como CVE-2026-85097, ela tem pontuação CVSS 9.8 e permite que um atacante totalmente não autenticado envie e execute código PHP arbitrário em um site vulnerável. Sem login, sem privilégios especiais e sem interação do usuário.

A cadeia de ataque é uma aula de validação malfeita. O atacante obtém um nonce válido pelo endpoint bricksforge_regenerate_nonce, envia um arquivo poliglota GIF/PHP que passa na checagem de MIME e depois submete um formulário em que o caminho no servidor aponta para a imagem limpa, enquanto o campo url controlado pelo atacante termina discretamente em .php. O resultado: execução remota de código no servidor.

A correção é simples e urgente. Atualize o Bricksforge para a versão 3.1.8.10 ou superior, apague qualquer arquivo suspeito do diretório de upload temporário e audite os logs do servidor em busca de atividade estranha. Se você roda WordPress em qualquer escala, trate isso como patch para hoje, não para depois. Usar uma VPN confiável também é um hábito de base inteligente enquanto você faz a limpeza.

Falha crítica 9.8 no plugin Bricksforge para WordPress permite executar código no seu servidor sem estar logado

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →

Uma vulnerabilidade de gravidade máxima no WordPress está circulando, e ela é um pesadelo para quem usa o plugin The Events Calendar. Registrada como CVE-2026-78006 com pontuação CVSS 9.8, a falha encadeia uma injeção de objeto PHP com um hash de integridade forjado para driblar as verificações de segurança do plugin e alcançar a execução remota de código. O detalhe mais assustador: não exige nenhuma autenticação.

O ataque explora a área de comentários. Como o WordPress entrega a comentaristas não autenticados um link com hash de moderação para visualizarem imediatamente seu próprio comentário pendente, um payload de bloco malicioso chega ao trecho vulnerável do código antes de qualquer moderação humana. Em outras palavras, uma caixa de comentários aberta em uma página de evento pode virar uma porta de entrada direta para o seu servidor.

A correção é simples e urgente: atualize o The Events Calendar para a versão mais recente com patch e, de quebra, restrinja ou desative comentários em publicações de eventos. Se você administra sites WordPress, aplique o patch agora, confira as versões e trate qualquer plugin exposto como uma janela aberta numa tempestade. Proteger sua privacidade na rede importa tanto quanto, e uma conexão criptografada é um ótimo ponto de partida.

Falha crítica no WordPress deixa atacantes não autenticados executarem código no seu servidor pelo plugin The Events Calendar

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →