Pesquisadores da equipe Wordfence, da empresa Defiant, alertaram para uma série de vulnerabilidades críticas no popular tema Avada para a plataforma WordPress, que permite a um invasor não autenticado executar instruções PHP arbitrárias no servidor por meio de um ataque que não exige um clique do usuário. As seis vulnerabilidades estão registradas em conjunto sob o identificador CVE-2026-18431 e receberam uma pontuação de gravidade de 9,8 em 10.
A ThemeFusion, desenvolvedora do tema Avada e do plugin Fusion Builder, lançou as correções nas versões Avada 7.16.1 e Fusion Builder 3.16.1 em 25 de agosto de 2026. A falha afeta as versões do Avada até a 7.16 e as versões do Fusion Builder até a 3.16. Os operadores dos sites devem atualizar os dois componentes, pois o plugin é necessário para executar o tema e é instalado com ele, conforme esclarecimento citado pela Wordfence ao BleepingComputer.
Uma cadeia de seis etapas em vez de uma vulnerabilidade isolada
A exploração não depende de um único problema independente, mas conecta seis tipos de pontos fracos em uma ordem específica. A cadeia começa com a exposição de entradas controladas pelo invasor por meio de uma solicitação pública, seguida pelo encaminhamento dessas entradas a uma função indisponível para usuários anônimos e pela chamada de um componente com privilégios fora do contexto para o qual foi destinado.
Em seguida, os dados da solicitação são usados para influenciar um estado confiável, acessar uma operação administrativa insuficientemente protegida e, por fim, contornar as restrições impostas ao mecanismo de manipulação de arquivos para determinar o que pode ser escrito e onde. É essa sequência que transforma pontos fracos dispersos na capacidade de executar código PHP remotamente.
O que muda na prática para os proprietários de sites?
Se o ataque for bem-sucedido, o invasor poderá obter controle total do site e do servidor associado a ele, dentro do alcance das permissões disponíveis. As possíveis consequências incluem implantar malware, acessar bancos de dados, redirecionar visitantes para sites maliciosos ou criar contas administrativas não autorizadas.
A importância da falha é ampliada pela extensa base de uso do Avada, cujas vendas ultrapassaram um milhão de cópias. Segundo a Wordfence, a presença do tema implica, na prática, a presença do Fusion Builder necessário para executá-lo. Portanto, os requisitos técnicos não restringem o conjunto de sites-alvo tanto quanto se acreditava inicialmente: todo site que usa o Avada está exposto se permanecer nas versões afetadas.
Por que esta notícia é importante?
A gravidade está na combinação de três fatores: uma classificação de segurança crítica, a ausência de necessidade de autenticação ou interação da vítima e a ampla disseminação do componente em sites WordPress. Além disso, a natureza da cadeia torna prioritária a atualização conjunta do tema e do plugin, em vez de apenas verificar um deles.
A Wordfence descobriu a falha em 30 de julho de 2026 usando uma estrutura interna orientada por inteligência artificial agêntica chamada Argus, e a estrutura conseguiu reproduzi-la e desenvolver um código de prova de conceito em cerca de duas horas. Os pesquisadores compartilharam todos os detalhes com a ThemeFusion em 5 de agosto, e a empresa reconheceu o relatório em 10 de agosto. A Wordfence não publicou todos os detalhes técnicos para dar aos administradores de sites tempo para instalar as atualizações; por isso, a fonte não esclarece se houve ataques ativos antes da disponibilização das correções.