Falha crítica no Elementor Pro permite upload de PHP e execução remota de código no WordPress

Foi divulgada uma vulnerabilidade crítica no plugin Elementor Pro para WordPress, com pontuação CVSS 9.0. Registrada como CVE-2026-32475, a falha está no campo de upload de arquivos do módulo Forms e permite que atacantes não autenticados ignorem a verificação de extensões e enviem arquivos PHP maliciosos para diretórios públicos. Isso pode escalar para execução remota de código no servidor.

A condição para o ataque é ter ao menos uma página Elementor publicada com um formulário contendo campo de upload, algo muito comum em formulários de emprego e suporte. A correção foi lançada na versão 4.2.2 do Elementor Pro, e o WordPress 7.0.4 também corrige uma falha grave de RCE. Atualize seus sites e revise possíveis alterações suspeitas.