--- title: Falha no All-in-One WP Migration pode permitir controle de milhões de sites WordPress · VitaminaWeb description: Falha CVE-2026-19949 no All-in-One WP Migration pode permitir controle de sites WordPress. Veja quem está vulnerável e como corrigir. source: https://vitaminaweb.digital/es/blog/falha-no-all-in-one-wp-migration-pode-permitir-controle-de-milhoes-de-sites-wordpress lang: es --- ![Falha no All-in-One WP Migration pode permitir controle de milhões de sites WordPress](https://vitaminaweb.digital/storage/blog/0ldZpF3AU6LdytBFGdlTxBxy.webp) Uma vulnerabilidade no **All-in-One WP Migration and Backup**, um dos plugins mais populares do WordPress, pode permitir que atacantes assumam o controle de sites vulneráveis. A falha foi identificada como **CVE-2026-19949** e afeta versões até a **7.109** do plugin. A correção foi disponibilizada na versão **7.110**. O problema chama atenção principalmente pela escala. O All-in-One WP Migration possui mais de **5 milhões de instalações ativas**. No início de setembro, aproximadamente 35% da base já havia atualizado, o que indicava que cerca de **3,25 milhões de instalações ainda poderiam estar vulneráveis** naquele momento. ## Como funciona o ataque A vulnerabilidade é uma **SQL Injection de segunda ordem**. Na prática, significa que o invasor consegue inserir um conteúdo malicioso no banco de dados, mas o ataque não necessariamente acontece naquele momento. O código permanece armazenado. O problema surge posteriormente, quando o administrador utiliza o próprio plugin para exportar ou restaurar o site. Durante esse processamento, o conteúdo malicioso pode ser interpretado como uma instrução SQL. Ou seja: uma ação normal de manutenção pode acabar funcionando como gatilho para o ataque. Segundo a análise divulgada, dados manipulados podem ser introduzidos através dos trackbacks do WordPress e posteriormente executados durante operações de exportação e importação. ## De SQL Injection ao controle do site O risco vai além do acesso ao banco de dados. A exploração pode permitir que o atacante obtenha uma chave secreta utilizada pelo processo de importação do All-in-One WP Migration. Com essa chave, seria possível importar um arquivo `.wpress` malicioso contendo código executável. Isso transforma a vulnerabilidade em um cenário de **Remote Code Execution — RCE**. Na prática, o atacante pode conseguir executar código no ambiente do servidor e, dependendo das permissões disponíveis, assumir completamente o controle do site. A partir daí, o invasor poderia alterar páginas, criar usuários administrativos, instalar backdoors, redirecionar visitantes ou utilizar o site para distribuir malware. ## O plugin já foi corrigido A ServMask, desenvolvedora do All-in-One WP Migration, corrigiu a vulnerabilidade na versão **7.110**, publicada em agosto. Portanto, quem utiliza o plugin deve verificar imediatamente a versão instalada. **Versões 7.109 ou anteriores precisam ser atualizadas.** Mas existe um detalhe importante. Atualizar o plugin corrige a vulnerabilidade, mas não elimina automaticamente a possibilidade de um site ter sido comprometido antes da atualização. Por isso, ambientes que permaneceram vulneráveis também deveriam revisar logs, usuários administrativos, alterações recentes em arquivos PHP, plugins desconhecidos e modificações incomuns dentro do WordPress. ## O problema é maior do que um único plugin O caso também reforça uma questão recorrente no WordPress. A segurança de um site não depende apenas do WordPress Core. Ela depende de todo o ecossistema instalado: **WordPress + plugins + tema + servidor + PHP + banco de dados + configurações + usuários.** Cada plugin adiciona funcionalidades, mas também adiciona uma nova dependência que precisa ser atualizada, monitorada e acompanhada. E um plugin de backup merece atenção especial. Ferramentas capazes de importar, exportar e restaurar banco de dados e arquivos possuem acesso privilegiado à aplicação. Portanto, deveriam ser tratadas como componentes críticos da infraestrutura. ## O que fazer agora Quem utiliza All-in-One WP Migration deveria tomar três ações imediatas: 1. Atualizar o plugin para a versão **7.110 ou superior**. 2. Verificar se existem sinais de comprometimento no ambiente. 3. Revisar a quantidade e a necessidade dos plugins instalados. O episódio reforça uma regra básica de segurança digital: **um site não permanece seguro simplesmente porque estava seguro quando foi publicado.** Segurança depende de manutenção contínua, monitoramento de vulnerabilidades e atualização constante das tecnologias que sustentam a operação. Próxima leitura ## Continue afinando Desenvolvimento ### [Segurança em Aplicações Web: Um Guia Estratégico da Vulnerabilidade à Maturidade Digital](https://vitaminaweb.digital/es/blog/seguranca-em-aplicacoes-web-um-guia-estrategico-da-vulnerabilidade-a-maturidade-digital) Este guia oferece uma análise aprofundada e estratégica sobre os principais riscos, as melhores práticas de mitigação e a integração da segurança... 23 feb., 2026 · 5 min Tendências e Insights no Digital ### [Low-Code e No-Code: Quando o Marketing deixa de ser Usuário e passa a construir Tecnologia](https://vitaminaweb.digital/es/blog/low-code-e-no-code-quando-o-marketing-deixa-de-ser-usuario-e-passa-a-construir-tecnologia) Low-code e no-code estão redefinindo o papel do Marketing nas organizações. Ao permitir que equipes criem automações, integrações e soluções digi... 16 feb., 2026 · 5 min Novidades no Digital ### [AI Agent vs Chatbot: Uma Análise Profunda dos Casos de Uso no Mercado Atual](https://vitaminaweb.digital/es/blog/ai-agent-vs-chatbot-uma-analise-profunda-dos-casos-de-uso-no-mercado-atual) Descubra as diferenças entre AI Agents e chatbots e quando usar cada um. Guia prático para profissionais de marketing e tecnologia. 01 ago., 2025 · 4 min