CVE-2026-118064: Vulnerabilidade Crítica no Plugin Advance Guest Post do WordPress

Introdução

A vulnerabilidade CVE-2026-118064 afeta o plugin Advance Guest Post do WordPress, permitindo que utilizadores não autenticados façam uploads de ficheiros PHP maliciosos. Esta falha pode levar à execução remota de código, representando um risco significativo para a segurança das instalações do WordPress que utilizam este plugin.

O que aconteceu?

O plugin Advance Guest Post, até à versão 1.9, não restringe ou valida adequadamente os uploads de ficheiros. A falha reside na autorização de uma ação de upload com um nonce que é exposto a todos os visitantes do front-end. Além disso, a validação do ficheiro é feita apenas com base nos bytes iniciais, o que permite que utilizadores não autenticados façam uploads de ficheiros PHP arbitrários.

Como funciona a vulnerabilidade

Esta vulnerabilidade permite que um atacante não autenticado faça upload de ficheiros PHP, que podem ser executados remotamente. A exploração bem-sucedida desta falha requer que o alvo esteja a correr PHP 7.x, uma vez que em versões PHP 8.0 e posteriores, o caminho de código vulnerável gera um erro fatal antes que o ficheiro seja escrito.

Qual é o impacto real?

A exploração desta vulnerabilidade pode permitir que um atacante execute código malicioso no servidor, levando a compromissos de segurança significativos, como a obtenção de controlo total sobre o site afetado, roubo de dados sensíveis ou a utilização do servidor para atividades maliciosas.

Que versões são afetadas?

• Advance Guest Post até à versão 1.9

Como corrigir

1. Atualizar o plugin Advance Guest Post para a versão mais recente disponível.
2. Verificar se existem outras vulnerabilidades conhecidas nos plugins e temas instalados.
3. Implementar práticas de segurança adicionais, como a utilização de firewalls e monitorização de atividades suspeitas.

Mitigação enquanto não atualizas

Enquanto não for possível atualizar, recomenda-se desativar o plugin Advance Guest Post para evitar quaisquer riscos associados a esta vulnerabilidade. Além disso, é aconselhável monitorizar os logs do servidor para identificar qualquer atividade suspeita relacionada a uploads de ficheiros.

Conclusão

A vulnerabilidade CVE-2026-118064 representa um risco significativo para os utilizadores do plugin Advance Guest Post. É crucial que os administradores de sites afetados tomem medidas imediatas para corrigir esta falha e proteger as suas instalações do WordPress.