Hackers exploram falha crítica no Everest Forms Pro e assumem controle total de sites WordPress
Criminosos digitais estão explorando de forma ativa uma vulnerabilidade grave no plugin Everest Forms Pro, utilizado para criação de formulários em sites WordPress. O plugin conta com cerca de 4 mil instalações ativas e, nas versões afetadas, permite que invasores executem código arbitrário no servidor e tomem o controle completo do site comprometido.
A falha foi catalogada como CVE-2026-3300 e recebeu pontuação 9,8 no sistema CVSS, classificação considerada crítica. Todas as versões do Everest Forms Pro até a 1.9.12, inclusive, estão vulneráveis. A correção só foi disponibilizada a partir da versão 1.9.13, lançada em 18 de março de 2026. Qualquer instalação que ainda não tenha sido atualizada permanece em alto risco.
De acordo com análises técnicas, o problema está ligado ao recurso Calculation Addon, responsável por realizar cálculos complexos em campos de formulário. O ponto frágil é a função process_filter(), que concatena dados enviados pelos usuários em uma string de código PHP, sem higienização adequada, e então passa esse conteúdo diretamente para a função eval(), conhecida por executar código PHP de forma dinâmica.
Na prática, isso significa que entradas fornecidas por visitantes – em campos como texto, e-mail, URL, seleção ou radio button – podem ser interpretadas como código PHP pelo servidor, caso o formulário utilize o recurso de “Complex Calculation”. A função sanitize_text_field(), aplicada pelo plugin, não é suficiente para esse contexto, pois não escapa corretamente aspas e outros caracteres que, dentro de um código PHP, podem ser usados para quebrar a lógica original e injetar comandos arbitrários.
Com esse cenário, um atacante não autenticado consegue enviar valores especialmente preparados em formulários públicos do site e, assim, fazer com que o servidor execute código malicioso. Isso torna possível realizar ações como criar usuários administrativos, instalar backdoors, alterar arquivos do WordPress, manipular o banco de dados e até usar o servidor como base para outros ataques.
A exploração bem-sucedida da CVE-2026-3300 abre caminho para que invasores executem comandos PHP diretamente no ambiente da vítima. Entre os impactos possíveis estão a criação de contas de administrador falsas, instalação de web shells para acesso remoto, implantação de mecanismos de persistência e inclusão de malwares adicionais. Em um site WordPress, isso equivale ao controle total da aplicação: o atacante pode modificar páginas, inserir redirecionamentos maliciosos, roubar dados de usuários, capturar credenciais e utilizar a infraestrutura para distribuir campanhas de phishing ou hospedar conteúdo ilegal.
Relatórios indicam que tentativas de exploração começaram a ser registradas em 13 de abril de 2026. Em um curto período, foram bloqueadas mais de 29,3 mil tentativas de ataque dirigidas especificamente a essa vulnerabilidade. Apenas nas últimas 24 horas analisadas, foram contabilizadas 16 novas tentativas, mostrando que a campanha ainda está ativa e que os criminosos seguem varrendo a internet em busca de sites desatualizados.
Um dos payloads mais recorrentes observados nas tentativas de exploração tenta criar uma conta administrativa com o nome de usuário “diksimarina” e endereço de e-mail associado “[email protected]”. Esse tipo de estratégia é comum em ataques a WordPress: ao criar um novo administrador, o invasor garante acesso persistente ao painel, mesmo que a vulnerabilidade original venha a ser corrigida depois. Assim, ainda que o plugin seja atualizado posteriormente, o atacante continua com uma “porta” legítima para o painel de controle.
Os ataques teriam sido originados de diversos endereços IP espalhados por diferentes regiões, reforçando o caráter distribuído da campanha. Para os administradores, isso torna menos eficaz a simples prática de bloquear IPs individuais, pois os agentes de ameaça podem facilmente alternar entre diferentes origens de ataque ou utilizar redes comprometidas para mascarar sua verdadeira localização.
Diante desse cenário, proprietários e administradores de sites que utilizam o Everest Forms Pro precisam agir rapidamente. É fundamental atualizar o plugin, no mínimo, para a versão 1.9.13 ou superior, que contém a correção da falha. Além disso, recomenda-se uma revisão detalhada dos logs de acesso, a fim de identificar requisições suspeitas a formulários que utilizam o recurso de cálculo complexo, e a checagem de todas as contas com privilégios administrativos no painel WordPress, removendo qualquer usuário desconhecido ou recentemente criado sem justificativa.
Outro ponto importante é avaliar se houve alterações não autorizadas em arquivos do tema, plugins e no próprio core do WordPress. A presença de arquivos estranhos, scripts em diretórios incomuns ou modificações recentes em arquivos críticos pode indicar que o site já foi comprometido. Em casos mais graves, pode ser necessário restaurar o ambiente a partir de um backup confiável, realizado antes da exploração da vulnerabilidade, seguido de uma auditoria completa de segurança.
Para reduzir a exposição a falhas semelhantes no futuro, é essencial adotar boas práticas básicas de segurança em WordPress: manter todos os plugins e temas sempre atualizados, remover extensões que não são mais utilizadas, restringir o número de usuários com privilégios administrativos, utilizar autenticação em duas etapas sempre que possível e implementar soluções de firewall de aplicação que monitorem e bloqueiem comportamentos suspeitos em tempo real.
Além disso, desenvolvedores de plugins e temas devem evitar ao máximo o uso de funções como eval() e, sempre que manipularem dados fornecidos por usuários, aplicar validações e sanitizações adequadas ao contexto em que os dados serão utilizados – especialmente quando há possibilidade de interação com código interpretado, comandos de sistema ou banco de dados.
Enquanto a falha no Everest Forms Pro concentra a atenção dos administradores de WordPress, outra frente de ameaça cresce no comércio eletrônico: o avanço de campanhas de skimmers digitais contra lojas online. Skimmers são códigos maliciosos inseridos em páginas de checkout com o objetivo de capturar, em tempo real, dados sensíveis inseridos pelos consumidores, como números de cartão, endereços de cobrança, e-mails e telefones.
Pesquisadores de segurança identificaram múltiplas operações desse tipo, incluindo uma campanha sofisticada que se aproveita da infraestrutura de um grande provedor de pagamentos para atuar como servidor de comando e controle e, ao mesmo tempo, como canal para exfiltração dos dados coletados. Em vez de enviar as informações diretamente para domínios claramente suspeitos, os criminosos “escondem” o tráfego malicioso dentro de serviços amplamente confiáveis.
Nesse ataque específico, os operadores utilizam contêineres de gerenciamento de tags para injetar o código malicioso em todas as páginas que carregam o script. Em plataformas como Magento e Adobe Commerce, o loader presente no checkout extrai um skimmer ofuscado armazenado em um campo de metadados de uma conta de cliente mantida no provedor de pagamentos. Assim, o código malicioso é carregado de forma dinâmica e se beneficia da reputação do domínio legítimo para burlar políticas de segurança de conteúdo e filtros de rede.
Uma vez ativado na página de pagamento, o skimmer intercepta todos os dados inseridos pelos compradores: número e validade do cartão, código de segurança, nome do titular, endereço, e-mail e telefone. Essas informações são armazenadas temporariamente no localStorage do navegador da vítima, o que permite ao script operar de forma silenciosa, mesmo se houver pequenos atrasos na comunicação com o servidor controlado pelos atacantes.
Em seguida, os dados coletados são enviados para a conta do criminoso dentro da própria infraestrutura do provedor de pagamentos. Cada cartão roubado passa a ser cadastrado como se fosse um “cliente” legítimo. Após o envio bem-sucedido, o loader limpa o registro do localStorage para evitar duplicidade e reduzir rastros. Mais tarde, o atacante pode listar esses “clientes” por meio da mesma interface de programação e da mesma chave utilizada normalmente para integrar lojas on-line, transformando a base de clientes em um repositório durável de dados roubados.
Essa abordagem é particularmente perigosa por dois motivos. Primeiro, porque o tráfego aparenta ser completamente legítimo, misturando-se com as comunicações normais da loja com o provedor de pagamentos. Segundo, porque o uso de domínios amplamente confiáveis dificulta a detecção via regras rígidas de Content Security Policy ou por bloqueios baseados em reputação de domínio. Em muitos ambientes de e-commerce, serviços de pagamento e de análise de tráfego são implicitamente autorizados, o que abre espaço para esse tipo de abuso.
Para lojistas e administradores de plataformas de comércio eletrônico, a lição é clara: confiar apenas na reputação de grandes provedores não é suficiente. É necessário revisar com regularidade todos os scripts de terceiros carregados no checkout, analisar configurações de contêineres de tags, limitar ao estritamente necessário os domínios permitidos nas políticas de segurança de conteúdo e monitorar alterações inesperadas em integrações com meios de pagamento.
Medidas adicionais incluem auditorias periódicas de segurança no código da loja, varredura em busca de scripts ofuscados ou desconhecidos, implementação de mecanismos de detecção de skimmers e segmentação de ambientes para reduzir o impacto em caso de comprometimento. Também é recomendável treinar equipes técnicas para reconhecer sinais típicos de injeção de código malicioso, como a presença de JavaScript escondido em campos de metadados, parâmetros pouco usuais em requisições de checkout ou modificações repentinas em contêineres de tags.
Tanto no caso do Everest Forms Pro quanto nas campanhas de skimming em lojas virtuais, o ponto em comum é o aproveitamento de brechas em componentes de terceiros amplamente utilizados. Plugins de formulários, gerenciadores de tags, integrações com provedores de pagamento e extensões de e-commerce se tornaram alvos prioritários porque, quando comprometidos, oferecem aos atacantes escala e acesso direto a dados sensíveis ou ao controle da aplicação.
Por isso, a gestão de risco em sites e lojas online precisa ir além da simples instalação de ferramentas de segurança. É indispensável estabelecer processos contínuos de monitoramento, atualização, inventário de dependências, revisão de permissões e testes de segurança. Quanto mais rápido uma vulnerabilidade for identificada e corrigida, menor a janela de oportunidade para exploração em massa.
Em um cenário de ameaças cada vez mais sofisticadas e automatizadas, a combinação de atualização constante, boas práticas de desenvolvimento seguro, monitoramento ativo e resposta rápida a incidentes se torna o principal diferencial entre um ambiente resiliente e um alvo fácil para campanhas de ataque em larga escala.