Sondagens ao endpoint de lotes da API REST do WordPress mais que triplicaram em nossa infraestrutura

291 Intercept é o nosso relatório semanal sobre o que os scanners automatizados procuraram em nossa própria infraestrutura, para que você possa verificar os mesmos pontos nos seus sistemas. Cada edição cobre uma semana encerrada há pelo menos sete dias.

A mudança mais nítida em nossa infraestrutura na semana de 26 de outubro foi um salto nas requisições a um endereço do WordPress: /wp-json/batch/v1. Cerca de 40 origens o solicitaram, 3.3 vezes a média semanal das três semanas anteriores. É nesse endpoint que começa o wp2shell, uma cadeia de duas falhas no núcleo do WordPress que permite a um atacante sem login executar código em um site.

Isso ocorreu em uma semana mais movimentada no geral: cerca de 620 origens sondaram nossa infraestrutura exposta à internet, 10% a mais que a média das três semanas anteriores. O WordPress continuou sendo o principal alvo, com 66% das origens buscando logins do WordPress, XML-RPC ou caminhos de plugins, um aumento de 20%. Os scanners também procuraram com mais frequência partes de aplicações que deveriam permanecer privadas.

O que é o wp2shell

/wp-json/ é a raiz da API REST do WordPress, e /wp-json/batch/v1 é o seu processador de lotes, que trata um conjunto de requisições à API de uma só vez. Segundo a Rapid7, o wp2shell combina duas falhas. A CVE-2026-63030 é uma falha de lógica nesse processador de lotes, e a CVE-2026-60137 é uma injeção de SQL no endpoint de posts. Encadeadas, elas permitem que alguém sem conta execute código no WordPress 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1.

A falha foi divulgada em 17 de julho de 2026, e a Rapid7 informa que a CISA a incluiu no seu catálogo Known Exploited Vulnerabilities em 21 de julho. As versões corrigidas são 6.9.5, 7.0.2 e 7.1 Beta 2.

Por que sondar uma falha que já tem correção? Os scanners não precisam que todos os sites estejam vulneráveis, basta que alguns estejam. Uma requisição não lhes custa quase nada, e qualquer site que ainda esteja em uma versão afetada merece uma segunda visita.

O lado conhecido da varredura de WordPress

Um kit de ferramentas coordenado, com cerca de 20 origens em poucos países, percorreu a mesma lista de uns dez caminhos. Ele pediu o mesmo arquivo sob vários nomes de pasta, como /wp/wp-includes/wlwmanifest.xml, /shop/wp-includes/wlwmanifest.xml e /wordpress/wp-includes/wlwmanifest.xml, além de /xmlrpc.php.

O wlwmanifest.xml é o manifesto do Windows Live Writer presente nas instalações padrão do WordPress, e pedir esse arquivo em pastas comuns é uma forma de encontrar sites WordPress antes de tentar explorar plugins ou temas. O XML-RPC vem em seguida: em 2015, pesquisadores descobriram que o método system.multicall permite a um atacante testar centenas de senhas em uma única requisição.

Sobras e componentes internos

Em comparação com as três semanas anteriores, o número de origens à procura de arquivos de backup e dumps subiu 73%, o das que buscavam componentes internos de aplicações, como o actuator do Spring Boot, subiu 63%, e o das que solicitavam páginas de diagnóstico como /phpinfo.php e /info.php subiu 52%. Como o número total de origens também cresceu, as participações variaram menos: as páginas de diagnóstico passaram de 15% de todas as origens, em média, para 21%. O gráfico abaixo mostra seis das categorias desta semana, cada uma com sua participação nas origens desta semana comparada com a média das três semanas anteriores.

/actuator/env atraiu cerca de 40 origens, 2.4 vezes a média anterior. No Spring Boot, esse endpoint exibe as propriedades de configuração da aplicação. A documentação do Spring diz que, por padrão, apenas o health fica acessível via HTTP e que os valores do env são mascarados, mas quando os desenvolvedores o expõem sem restringir o acesso, ele pode vazar credenciais, chaves de API e configurações internas. O /wp-config.php.bak, um backup esquecido da configuração do WordPress, dobrou para cerca de 40 origens.

Um segundo kit de ferramentas, com cerca de 20 origens, combinou esses interesses em uma única varredura: /.env, /.git/config, /info.php, /config.json, /server-status e /debug/default/view. Esse último caminho pertence ao depurador do Yii 2, que exibe dados de sessão, variáveis de ambiente e consultas ao banco de dados. O guia do Yii diz que normalmente ele só funciona a partir do localhost, mas a CVE-2026-103475, divulgada em 30 de setembro, afeta o yii2-starter-kit até a versão 4.2.0, cuja configuração padrão o deixa aberto a todos os endereços IP.

Acompanhamento da semana passada

Nossa última edição apontou mais scanners procurando arquivos .env em subpastas. A tendência continuou. /v2/.env e /old/.env atraíram cerca de 60 origens cada, aproximadamente o dobro da média anterior, com /production/.env em 50 e /storage/.env em 40. No total, 200 origens buscaram arquivos de segredos e de configuração, alta de 16%, praticamente acompanhando o aumento geral de origens, de modo que sua participação se manteve em 33%. Para dar uma ideia da escala, pesquisadores relataram em fevereiro 12,088,677 endereços IP servindo arquivos do tipo .env acessíveis publicamente.

A sondagem de repositórios Git, nosso destaque da semana passada, perdeu participação, mas continuou acima do nível anterior. No total, 170 origens procuraram repositórios de código fonte, 20% a mais que a média das três semanas, embora sua participação no total de origens tenha caído de 37% para 29%.

Quem fez as requisições

Mais da metade das origens (55%) veio de redes de nuvem e hospedagem, com DigitalOcean e Google Cloud respondendo por 20% cada, e 85% de todas as origens apareceram em um único dia. A maioria também tentou se passar por pessoas: 82% enviaram strings que imitavam navegadores comuns, mas 85% se comportaram como automação, então o disfarce é frágil.

O que ficou em silêncio

As requisições a /wp-content/plugins/hellopress/wp_filemanager.php, que tinham média de cerca de 20 origens por semana, praticamente desapareceram, com queda de 79%. Ainda é cedo para dizer se os scanners mudaram de alvo. Arquivos de chaves de nuvem, como /service-account.json, ficaram praticamente estáveis, em cerca de 70 origens.

O que fazer

• Verifique a versão do seu WordPress. Se estiver entre 6.9.0 e 6.9.4 ou entre 7.0.0 e 7.0.1, atualize agora para 6.9.5 ou 7.0.2.
• Mantenha os arquivos .env totalmente fora da pasta pública, inclusive em versões antigas e subpastas versionadas. O lugar seguro é um nível acima da raiz web.
• Apague backups e dumps, como /database.sql ou /wp-config.php.bak, de tudo o que um navegador possa acessar.
• Proteja os componentes internos. Restrinja os endpoints do actuator do Spring Boot e mantenha o mascaramento do env ativado, remova páginas de teste do phpinfo e mantenha o depurador do Yii restrito ao localhost.
• Desative o XML-RPC se nada no seu site precisar dele.

Sobre estas observações

Este relatório é produzido pelo 291 Heat Seeker One, o sistema de monitoramento de segurança do 291 Group, executado no 291 Crossband, nossa plataforma proprietária de operações de segurança. Ele abrange apenas o tráfego destinado à infraestrutura do 291 Group exposta à internet.

Os números são arredondados, as participações e variações são medidas pelo número de origens distintas, e não de requisições, e só são incluídos padrões observados a partir de pelo menos 20 origens distintas. Os países indicam onde estão os servidores das origens, não necessariamente onde estão as pessoas que os operam. Os tipos de rede são definidos por quem opera cada rede; apenas provedores grandes e conhecidos são nomeados.