Uma vulnerabilidade no Contact Form 7 exige atenção antes de 19 de novembro. O Contact Form 7 é um dos plugins de formulário mais usados no WordPress, e muita gente nem lembra que ele está instalado. Uma falha nas versões 6.2 a 6.2.3, registrada como CVE-2026-114432, pode permitir que qualquer pessoa, sem login, envie arquivos para o seu servidor por meio de um formulário com campo de anexo.
Por que essa vulnerabilidade no Contact Form 7 é grave
O plugin não validava corretamente o tipo de arquivo enviado e, em alguns casos, os arquivos temporários não eram apagados. Em certos servidores Apache (configuração comum em Debian e Ubuntu), esse arquivo pode ser executado e dar ao atacante controle do site. Em outros ambientes, o risco é a publicação de arquivos maliciosos no seu domínio.
A falha recebeu nota 9,8 de 10 (crítica) na avaliação da CISA.
Já está sendo explorada?
Até 9 de novembro, não havia registro de ataques. Mas há uma data importante: a demonstração técnica do ataque (prova de conceito) está programada para ser publicada em 19 de novembro de 2026. Depois disso, a tendência é aparecerem ataques automatizados.
O que fazer
- Atualize o Contact Form 7 para a versão 6.2.4 ou superior.
- Confira a versão em todos os seus sites, principalmente nos que têm formulário com anexo (currículos, orçamentos, comprovantes).
- Verifique a pasta de uploads do plugin em busca de arquivos estranhos. Atualizar não remove arquivos que já tenham sido enviados.
- Se não der para atualizar agora: desative a listagem de diretórios no servidor e bloqueie a execução de arquivos dentro de wp-content/uploads.
Como saber se meu site foi afetado
O primeiro passo é descobrir se o plugin está instalado e em qual versão. No painel, vá em Plugins e procure por Contact Form 7. Se a versão estiver entre 6.2 e 6.2.3, o site está no grupo afetado. Se você mantém mais de um site, repita essa conferência em cada um deles.
- Veja quais formulários têm campo de anexo. Em Contato > Formulários, abra cada formulário e procure campos do tipo arquivo (file).
- Confira a pasta de arquivos temporários do plugin (normalmente wp-content/uploads/wpcf7_uploads) e veja se há arquivos com extensões que não deveriam estar ali, como .php.
- Se a hospedagem oferece registros de acesso, procure envios incomuns para as páginas que têm formulário.
Encontrou arquivos suspeitos? Guarde uma cópia para análise, remova os arquivos do servidor e troque as senhas de acesso ao painel do WordPress e à hospedagem.
Lembre que atualizar não apaga arquivos enviados antes da correção. Por isso, essa conferência continua valendo mesmo em sites que já estão na versão 6.2.4.
Checklist rápido de prevenção para formulários
Mesmo depois de atualizar, alguns cuidados simples reduzem o risco de problemas parecidos no futuro, com este ou com qualquer outro plugin de formulário:
- Use campo de anexo só quando ele for realmente necessário.
- Limite os tipos de arquivo aceitos (por exemplo, apenas PDF e imagens) e o tamanho máximo.
- Bloqueie a execução de arquivos PHP dentro de wp-content/uploads.
- Mantenha um backup recente guardado fora do servidor antes de qualquer atualização.
- Revise os plugins do site de tempos em tempos com uma lista de verificação, como o WordPress Security Checklist.
Na mesma época, outra falha grave atingiu o próprio núcleo da plataforma: veja como se proteger da falha no atualizador do WordPress (CVE-2026-119977). E, para entender como funciona o meu atendimento, confira as perguntas frequentes.
Para agências
Se você cuida de vários sites de clientes, faça um levantamento rápido de onde o plugin está instalado antes do dia 19. Se precisar de ajuda com essa varredura, posso apoiar nos bastidores.
Fonte