Se você administra um site em WordPress, ligue o alerta vermelho. Uma vulnerabilidade identificada como CVE-2026-8181 no plugin Burst Statistics abre a porta para que invasores criem contas de administrador sem conhecer a senha — colocando cerca de 200 mil sites em risco de controle total por hackers.
O que aconteceu?
Em 8 de maio de 2026, a plataforma de análise de ameaças PRISM, mantida pela Wordfence, detectou a falha em versões recentes do Burst Statistics. O problema surgiu em 23 de abril, quando uma atualização do plugin introduziu um método de autenticação customizado mal validado. Apenas 15 dias depois, criminosos já estavam testando o exploit em massa: mais de 7 400 tentativas de ataque foram bloqueadas em 24 horas.
Como o ataque funciona — e por que é tão grave
Basta ao invasor descobrir ou adivinhar o username de um administrador (informação que pode aparecer em comentários, feeds RSS ou na própria API REST pública). Em seguida, ele envia uma requisição à rota /wp-json/wp/v2/users com esse nome de usuário e qualquer senha inventada. O Burst Statistics interpreta erroneamente o retorno null da função wp_authenticate_application_password() como sucesso e executa wp_set_current_user(), transformando o hacker em administrador legítimo.
Com privilégios máximos, o invasor pode:
- Instalar backdoors para invasões futuras;
- Roubar bancos de dados com dados de clientes;
- Adicionar redirecionamentos para phishing ou malware;
- Modificar temas e plugins, afetando o SEO e a reputação do domínio.
Quem ainda está em perigo
O Burst Statistics registra cerca de 200 mil instalações ativas. Desde a publicação do patch (versão 3.4.2, lançada em 12/05/2026), apenas 85 mil downloads ocorreram. Ou seja, algo em torno de 115 mil sites continuam vulneráveis.
Usuários dos planos pagos Wordfence Premium, Care e Response já contam com regras de firewall exclusivas desde 8 de maio. A edição gratuita receberá a mesma proteção apenas em 7 de junho — um intervalo crítico de quase um mês.
Por que isso importa para e-commerces e criadores de conteúdo
Sites que vendem produtos — especialmente afiliados que dependem de links da Amazon e outras plataformas — estão na linha de frente. Uma invasão pode:
- Desfigurar páginas de review, reduzindo credibilidade e conversões;
- Inserir malware que bloqueia navegadores, derrubando métricas de engajamento;
- Roubar cookies de afiliado, desviando comissão de vendas.
Ao contrário de notícias que afetam apenas “grandes empresas”, esta falha tem impacto direto no bolso de pequenos criadores e lojas virtuais que contam com cada clique convertido em venda.
Imagem: Internet
Como se proteger agora mesmo
1. Atualize já o Burst Statistics para a versão 3.4.2 ou superior.
2. Se não puder atualizar, desative temporariamente o plugin.
3. Verifique se há novos usuários administradores criados sem autorização e faça auditoria de plugins.
4. Ative autenticação multifator (MFA) para todas as contas privilegiadas.
5. Considere plugins alternativos de estatísticas, como Jetpack Stats ou Matomo, que possuem histórico de atualizações mais sólido.
Vale trocar de plugin?
Enquanto o Burst Statistics é popular por ser leve e gratuito, opções como Matomo oferecem hospedagem própria dos dados, garantindo privacidade, e recebem auditorias de segurança regulares. Já o Jetpack Stats integra-se ao ecossistema Automattic, aproveitando a infraestrutura da própria criadora do WordPress.com. Para projetos que monetizam via links de afiliado — onde estabilidade e confiança importam — adotar soluções com ciclo de atualização mais maduro pode reduzir riscos a longo prazo.
Próximos passos para administradores de sites
Mesmo após corrigir o plugin, monitore logs de acesso e use extensões de segurança que limitem chamadas suspeitas à API REST. Também é recomendável manter backups diários fora do servidor principal — caso um invasor tenha se infiltrado antes da correção, você poderá restaurar rapidamente.
Mantendo o WordPress em dia e auditando regularmente sua pilha de plugins, você garante que o foco do seu site continue sendo gerar conteúdo, cliques e renda — não lidar com crises de segurança.
Com informações de TecMundo
