BR-Linux.org

A falha wp2shell é nova, grave, e abre o servidor do seu blog para a execução remota de comandos (RCE), sem exigir autenticação nem requisitos complexos.

As versões afetadas são o WordPress 6.9.0 a 6.9.4, 7.0.0 e 7.0.1. Se você tem uma dessas, o ideal é fazer o upgrade imediato para 7.0.2 (lançado ontem para corrigir o bug) ou o 6.9.5

Vale ter pressa, porque logo devem surgir ferramentas automatizadas de exploração, já que a estimativa é de que existam mais de meio bilhão de sites rodando WordPress, e o bug é ao mesmo tempo grave e de fácil exploração. É um alvo tentador demais para os adversários.

O que eu penso sobre o WordPress não é novidade (e eu repeti recentemente ao final deste post sobre a versão 7), mas aos usuários desejo sucesso e que tenham condições de fazer o upgrade ou correção antes que a falha seja explorada.

Referência: wp2shell: Pre Authentication RCE in WordPress Core