Uma vulnerabilidade no All-in-One WP Migration and Backup, um dos plugins mais populares do WordPress, pode permitir que atacantes assumam o controle de sites vulneráveis.
A falha foi identificada como CVE-2026-19949 e afeta versões até a 7.109 do plugin. A correção foi disponibilizada na versão 7.110.
O problema chama atenção principalmente pela escala.
O All-in-One WP Migration possui mais de 5 milhões de instalações ativas. No início de setembro, aproximadamente 35% da base já havia atualizado, o que indicava que cerca de 3,25 milhões de instalações ainda poderiam estar vulneráveis naquele momento.
Como funciona o ataque
A vulnerabilidade é uma SQL Injection de segunda ordem.
Na prática, significa que o invasor consegue inserir um conteúdo malicioso no banco de dados, mas o ataque não necessariamente acontece naquele momento.
O código permanece armazenado.
O problema surge posteriormente, quando o administrador utiliza o próprio plugin para exportar ou restaurar o site.
Durante esse processamento, o conteúdo malicioso pode ser interpretado como uma instrução SQL.
Ou seja: uma ação normal de manutenção pode acabar funcionando como gatilho para o ataque.
Segundo a análise divulgada, dados manipulados podem ser introduzidos através dos trackbacks do WordPress e posteriormente executados durante operações de exportação e importação.
De SQL Injection ao controle do site
O risco vai além do acesso ao banco de dados.
A exploração pode permitir que o atacante obtenha uma chave secreta utilizada pelo processo de importação do All-in-One WP Migration.
Com essa chave, seria possível importar um arquivo .wpress malicioso contendo código executável.
Isso transforma a vulnerabilidade em um cenário de Remote Code Execution — RCE.
Na prática, o atacante pode conseguir executar código no ambiente do servidor e, dependendo das permissões disponíveis, assumir completamente o controle do site.
A partir daí, o invasor poderia alterar páginas, criar usuários administrativos, instalar backdoors, redirecionar visitantes ou utilizar o site para distribuir malware.
O plugin já foi corrigido
A ServMask, desenvolvedora do All-in-One WP Migration, corrigiu a vulnerabilidade na versão 7.110, publicada em agosto.
Portanto, quem utiliza o plugin deve verificar imediatamente a versão instalada.
Versões 7.109 ou anteriores precisam ser atualizadas.
Mas existe um detalhe importante.
Atualizar o plugin corrige a vulnerabilidade, mas não elimina automaticamente a possibilidade de um site ter sido comprometido antes da atualização.
Por isso, ambientes que permaneceram vulneráveis também deveriam revisar logs, usuários administrativos, alterações recentes em arquivos PHP, plugins desconhecidos e modificações incomuns dentro do WordPress.
O problema é maior do que um único plugin
O caso também reforça uma questão recorrente no WordPress.
A segurança de um site não depende apenas do WordPress Core.
Ela depende de todo o ecossistema instalado:
WordPress + plugins + tema + servidor + PHP + banco de dados + configurações + usuários.
Cada plugin adiciona funcionalidades, mas também adiciona uma nova dependência que precisa ser atualizada, monitorada e acompanhada.
E um plugin de backup merece atenção especial.
Ferramentas capazes de importar, exportar e restaurar banco de dados e arquivos possuem acesso privilegiado à aplicação.
Portanto, deveriam ser tratadas como componentes críticos da infraestrutura.
O que fazer agora
Quem utiliza All-in-One WP Migration deveria tomar três ações imediatas:
Atualizar o plugin para a versão 7.110 ou superior.
Verificar se existem sinais de comprometimento no ambiente.
Revisar a quantidade e a necessidade dos plugins instalados.
O episódio reforça uma regra básica de segurança digital:
um site não permanece seguro simplesmente porque estava seguro quando foi publicado.
Segurança depende de manutenção contínua, monitoramento de vulnerabilidades e atualização constante das tecnologias que sustentam a operação.
