Falha crítica no WordPress deixa hackers tomarem controle total de sites
Por Lillian Sibila Dala Costa • Editado por Jones Oliveira |
O tema JobMonster, do WordPress, apresentou uma vulnerabilidade considerada crítica para a plataforma de hospedagem de sites: usada por mais de 5.500 clientes, a temática premium permitia o acesso completo de hackers às contas de administrador dos websites. Uma onda de ataques por esse vetor foi identificada na última segunda-feira (3) pela empresa de segurança Wordfence.
- O que é WordPress? Tudo sobre o sistema de gerenciamento de sites
- O que é uma vulnerabilidade de dia zero (Zero-Day)?
A falha foi identificada como CVE-2025-5397, de gravidade considerada crítica, pontuação 9.8. O problema está na função check_login(): segundo os pesquisadores, ela não verifica adequadamente a identidade do usuário que a acessa durante a autenticação, permitindo entrar em contas de administrador e controlar todo o site com facilidade.
Invasão pelo tema JobMonsterz
A falha é bastante preocupante para usuários do JobMonster, mas depende de uma condição específica para poder ser explorada: o site precisa ter a função de login social ativada, ou seja, a opção do usuário se autenticar através de Google, Facebook, LinkedIn ou outras redes. O tema confiava nos dados de login fornecidos por serviços externos sem verificação, permitindo falsificar a identidade.
Para tal, o hacker também precisava saber o nome de usuário ou e-mail da conta de administrador a ser usada para a invasão. A vulnerabilidade já foi corrigida na última versão do tema, JobMonster 4.8.2.
É extremamente recomendado a todos os que usam o tema que atualizem imediatamente, ou, na impossibilidade de fazê-lo, desativem a função de login social em seus websites. Vale, também, ativar a autenticação por dois ou mais fatores em todas as contas de administrador, trocar as senhas e verificar os registros de acesso em busca de atividades suspeitas.
O WordPress viu a exploração de muitos de seus temas premium nos últimos meses: semana passada, a Wordfence também registrou ataques ao Freeio por meio da vulnerabilidade CVE-2025-11533, e, anteriormente, ao Service Finder, por meio da CVE-2025-5947. Em julho, o tema Alone permitia a execução de código remoto, e teve 120.000 tentativas de atividade maliciosa bloqueadas pela Wordfence.
Confira mais:
- Estão te "ouvindo": estes apps falsos no Android gravam suas conversas e chamada
- IA de segurança do Google, "Big Sleep" descobre 5 vulnerabilidades no Safari
- Bug de 10 anos no Linux "ressuscita" e é usado em ataques de ransomware
VÍDEO | Medium, o "WordPress moderno"