Relatórios de segurança alertaram para uma vulnerabilidade crítica no plugin Elementor Pro para sites WordPress, que pode permitir que invasores enviem arquivos executáveis e executem código PHP remotamente no servidor. A vulnerabilidade foi identificada como CVE-2026-32475 e afeta versões do Elementor Pro anteriores à 4.2.2.
O problema está relacionado ao módulo File Upload, pois o plugin usa dois loops separados para verificar e processar os arquivos, mas os dois lidam de maneira diferente com uma parte do upload que possui um nome vazio. De acordo com um relatório da Patchstack, empresa especializada na segurança do ecossistema WordPress, essa diferença pode ser explorada por meio da criação de uma solicitação de upload multipartes que parece válida para o mecanismo de verificação, enquanto o mecanismo de processamento permite que um arquivo malicioso presente em uma parte posterior da solicitação seja encaminhado.
Como a falha pode ser explorada?
O cenário começa com a existência de um formulário publicado no site que inclui um campo para upload de arquivos, com a opção de upload múltiplo ativada. O invasor coloca primeiro uma parte sem nome de arquivo e, em seguida, anexa um arquivo PHP malicioso. Durante a verificação, o processo é interrompido após a parte vazia devido ao erro UPLOAD_ERR_NO_FILE, e a carga seguinte não é verificada. Já a etapa de processamento ignora a parte vazia e continua lidando com o arquivo malicioso, transferindo-o depois para a pasta pública wp-content/uploads/elementor/forms/.
Depois disso, o invasor pode tentar determinar o nome do arquivo criado usando a função uniqid(). Como essa função depende do horário e não produz um valor realmente aleatório, o nome pode ser deduzido por meio de uma estimativa baseada no momento do envio. Em algumas configurações, a mensagem de resposta automática pode revelar diretamente o endereço do arquivo. Ao solicitar o arquivo pelo endereço, o servidor PHP interpreta seu conteúdo e executa os comandos com as permissões do servidor web.
Quais sites estão vulneráveis?
O Elementor Pro tem mais de 10 milhões de instalações ativas e é a versão paga da ferramenta Elementor para criação de sites por meio de recurso de arrastar e soltar. A versão adiciona recursos como criação de formulários, construção de templates e pop-ups, inserção de código e CSS personalizado, além de ferramentas de comércio eletrônico.
No entanto, o escopo do risco não inclui todos os sites que usam o plugin. A Elementor esclareceu que a vulnerabilidade afeta apenas sites que usam um formulário do Elementor Pro contendo um campo de upload de arquivos, com a opção de upload de múltiplos arquivos ativada, uma opção desativada por padrão. A empresa afirmou que os demais sites não são afetados por essa vulnerabilidade, mas recomendou atualizar o plugin para reduzir os riscos de problemas de segurança ou compatibilidade.
O que os administradores devem fazer?
A Patchstack informou a equipe do Elementor sobre a vulnerabilidade em 16 de julho de 2026, após sua descoberta pelo pesquisador Tin Pham. O desenvolvedor do plugin preparou uma correção no dia seguinte, que foi validada pela Patchstack em 3 de agosto, antes de ser disponibilizada em 19 de agosto. Até o momento, a empresa não identificou casos de exploração ativa da vulnerabilidade em ataques reais.
- Atualizar o Elementor Pro: instalar a versão 4.2.2 ou qualquer versão posterior disponível.
- Verificar a pasta pública: revisar wp-content/uploads/elementor/forms/ em busca de arquivos PHP ou outros arquivos desconhecidos.
- Investigar arquivos suspeitos: a atualização não exclui os arquivos que podem ter sido enviados durante o período de exposição; portanto, é necessário verificá-los e removê-los de acordo com os procedimentos de resposta a incidentes.
A importância prática da vulnerabilidade está no fato de que, segundo a Patchstack, basta a existência de um formulário Elementor publicado com o campo e as configurações adequados. Portanto, instalar a correção, por si só, não é suficiente para verificar a integridade do site caso ele tenha sido exposto a uploads maliciosos antes da atualização.