Falha Crítica no Forminator Expõe 600 Mil Sites WordPress a Invasão Total

Segundo o boletimsec, uma vulnerabilidade crítica encontrada no plugin Forminator Forms, ferramenta usada por mais de 600 mil sites WordPress para criar formulários, pesquisas e enquetes, pode permitir que criminosos sem qualquer autenticação enviem arquivos PHP maliciosos e, dependendo da configuração do servidor, executem código remotamente. A falha recebeu o identificador CVE-2026-15748 e uma nota de 9,8 na escala CVSS, o que praticamente a coloca no topo do ranking de gravidade. Para quem cuida de infraestrutura de TI em empresas pequenas e médias, esse é o tipo de notícia que não pode passar batido.

Vamos direto ao ponto: uma nota 9,8 significa que a exploração da falha é relativamente simples e o impacto, devastador. Não é preciso ser um hacker de elite para se aproveitar dessa brecha. Basta encontrar um site rodando a versão vulnerável do Forminator e, com as configurações certas (ou erradas, dependendo do ponto de vista), o invasor consegue subir um arquivo malicioso disfarçado de anexo legítimo de formulário. A partir daí, o jogo muda completamente.

Por que um plugin de formulário se tornou porta de entrada

O Forminator não é um plugin qualquer, é uma das ferramentas mais populares para quem precisa criar campos de contato, cadastros e pesquisas dentro do WordPress. Justamente por essa popularidade, ele se torna um alvo atraente. Quanto mais instalações ativas, maior a superfície de ataque disponível para quem sai caçando vulnerabilidades.

O problema central está no processo de upload de arquivos. Em muitos formulários, os usuários podem anexar documentos, imagens ou outros tipos de arquivo. Se o plugin não valida corretamente o que está sendo enviado, um invasor pode se aproveitar dessa brecha para subir um arquivo PHP, uma linguagem de programação server-side, que, uma vez executado, dá acesso praticamente irrestrito ao servidor.

Aqui vale uma pausa didática: executar código remotamente significa que o invasor não precisa mais "adivinhar senhas" ou tentar métodos de força bruta. Ele simplesmente injeta instruções que o próprio servidor executa como se fossem legítimas. É como entregar as chaves da empresa para um estranho sem nem perce