Login fácil, invasão mais fácil ainda: a falha 9.8 do WordPress

Segundo o BoletimSec, quem administra sites em WordPress recebeu mais um daqueles avisos que não dá para deixar para depois. Uma vulnerabilidade crítica no plugin miniOrange Social Login pode permitir que invasores tomem posse de contas de usuários, inclusive perfis com poderes administrativos, sem precisar saber a senha. Registrada como CVE-2026-12761, a falha recebeu nota CVSS 9.8, praticamente o teto da escala de gravidade.

Para quem não conhece, esse plugin é aquele que deixa o visitante entrar no site usando contas de terceiros, como Google, Facebook e outros serviços. É uma facilidade que muita gente adora, porque elimina o cadastro tradicional e diminui o atrito na hora do login. O problema é que a comodidade, quando mal protegida, vira porta escancarada.

Por que uma nota 9.8 tira o sono de quem cuida de TI

A pontuação alta não é exagero. Uma falha que permite sequestro de conta sem senha significa que o atacante não precisa quebrar nada por força bruta. Ele explora a lógica do próprio plugin para se passar por outro usuário. Se esse usuário for um administrador, o estrago é completo: instalação de código malicioso, criação de novos acessos, roubo de dados de clientes e uso do site como isca para outros golpes.

A vulnerabilidade afeta todas as versões até a 7.7.0. Ou seja, se você não atualizou recentemente, é bem provável que esteja exposto neste exato momento. O que fazer:

Atualize o plugin imediatamente para a versão corrigida disponibilizada pelos desenvolvedores.

Revise os usuários administradores do site e procure contas que você não reconhece.

Verifique os logs de acesso em busca de logins estranhos ou atividades fora do padrão.

Troque as senhas dos perfis com maior privilégio, por precaução.

O plugin não é vilão, o descuido é

Aqui entra uma reflexão que repito bastante para os empresários e para o pessoal técnico que atende: plugin desatualizado é o calcanhar de aquiles do WordPress. A plataforma em si é sólida, mas o ecossistema de extensões é vasto e nem sempre bem cuidado por quem instala. Muita empresa coloca dez, vinte plugins e esquece que cada um deles é uma porta que precisa de manutenção.

Vejo com frequência sites institucionais e lojas virtuais rodando versões antigas simplesmente porque ninguém definiu quem é o responsável por atualizar.