O Wordfence divulgou em 9 de outubro de 2026 uma falha crítica (CVSS 9,1) no Avada Builder, o plugin que acompanha o tema Avada: um visitante sem conta pode, por meio de um formulário do Avada, fazer o WordPress executar ações escolhidas por ele, chegando à exclusão definitiva dos conteúdos que estão na lixeira. A correção existe desde 30 de setembro (Avada 7.16.2 e Avada Builder 3.16.2): todo site Avada que exibe um formulário precisa verificar a versão ainda hoje. Aqui você encontra a sequência dos fatos, as condições de exploração, os comandos de verificação e o que fazer.
O que aconteceu
Segundo a cronologia do registro CVE, publicado pelo Wordfence na qualidade de autoridade de atribuição, a ThemeFusion, empresa que edita o Avada, foi avisada em 24 de setembro de 2026 às 22h44 (horário de Paris). A falha é creditada à pesquisadora Chloe Chamberland e ao Argus, a ferramenta de análise automatizada do Wordfence.
Seis dias depois, em 30 de setembro, a ThemeFusion lança o Avada 7.16.2, apresentado como uma atualização de segurança que corrige seis problemas, entre eles um “possível XSS e injeção nos envios de formulários do Avada e nos e-mails de notificação”. A empresa agradece ao Wordfence e à Patchstack, sem citar nenhum número de CVE. O Avada Builder passa para a 3.16.2 na mesma entrega.
O Wordfence publica seu alerta em 9 de outubro às 17h52. O registro CVE-2026-97670 aparece em 10 de outubro às 6h26 e, 50 minutos depois, na base NVD. Em 11 de outubro, a análise acrescentada pela CISA classifica a falha assim: exploração “nenhuma”, automatizável “sim”. Em 13 de outubro, o Wordfence publica uma segunda falha sem conta no mesmo componente (CVE-2026-97471), corrigida pela mesma versão.
Quem é afetado
O Avada Builder (slug fusion-builder) é um plugin exigido pelo tema Avada: ele está presente em todos os sites Avada. Como se trata de um produto comercial, o wordpress.org não publica nenhum número de instalações; o BleepingComputer estimava em maio de 2026 a base em cerca de um milhão de instalações ativas. Um site está exposto quando todas as condições a seguir são atendidas:
- Avada Builder na versão 3.16.1 ou anterior;
- pelo menos um formulário do Avada publicado, com o tipo de envio AJAX;
- uma notificação por e-mail cuja mensagem contém a tag
[all_fields]ou a tag de um campo, o que o Wordfence descreve como a configuração padrão. A documentação do Avada, aliás, explica que uma mensagem deixada em branco envia “a mensagem padrão com todos os campos do formulário”.
Nenhuma conta é necessária e nenhum administrador precisa clicar em nada. Observação sobre as versões: o registro CVE indica “até 7.16.1”, ou seja, o número do tema, embora a própria descrição fale da verificação presente na versão 3.16.1 do Builder. A Patchstack, assim como os dados do Wordfence, considera o Avada Builder 3.16.1 e anteriores.
| CVE | Produto | Corrigida na | CVSS | Conta exigida | Publicada |
|---|---|---|---|---|---|
| CVE-2026-97670 | Avada Builder | 3.16.2 | 9,1 (crítica) | Nenhuma | 9 de outubro de 2026 |
| CVE-2026-97471 | Avada Builder | 3.16.2 | 5,3 (média) | Nenhuma | 13 de outubro de 2026 |
| CVE-2026-97340 | Tema Avada | 7.16.2 | 6,4 (média) | Assinante | 9 de outubro de 2026 |
| CVE-2026-84925 | Tema Avada | 7.16.2 | 6,1 (média) | Nenhuma (clique da vítima) | 1º de outubro de 2026 |
A CVE-2026-97471 permite ler sem conta metadados de usuários (endereço de e-mail dos administradores, identificadores, dados de contato de clientes do WooCommerce) pelo elemento Instagram. A CVE-2026-97340 é um XSS armazenado por um simples assinante pelos campos do perfil, e a CVE-2026-84925 um XSS refletido pelo parâmetro lang.
Como a falha funciona
O Avada Builder oferece “dados dinâmicos”: tokens colocados no conteúdo e substituídos na exibição por um valor (um título, um metadado...). Um deles, {action_hook,...}, dispara uma action do WordPress, ou seja, um gancho no qual o WordPress e os plugins conectam suas rotinas. Um administrador pode usá-lo legitimamente em um layout; um visitante nunca deveria conseguir fazer isso.
O problema nasce nas notificações de formulário. Quando um visitante envia o formulário, a mensagem de notificação insere o conteúdo dos campos por meio de [all_fields] ou da tag do campo, e o texto resultante passa pelo mecanismo de dados dinâmicos. Um token digitado em um campo é, portanto, interpretado como se viesse do administrador. Segundo o Wordfence, a proteção da versão 3.16.1 (a função is_content_request_supplied()) só olhava os parâmetros args da requisição, nunca os dados do formulário (formData) lidos pelo endpoint público de envio. Resultado: um anônimo escolhe o nome da action executada e pode disparar várias por requisição.
As consequências descritas pelo Wordfence:
- destruição de conteúdo: uma requisição anônima excluiu definitivamente os posts, páginas e comentários da lixeira ao chamar
wp_scheduled_delete, a tarefa do WordPress que esvazia a lixeira; - negação de serviço: outras actions não bloqueadas, como
wp_maybe_auto_update, podem perturbar o site; - gravações com privilégios se outro plugin instalado conectar uma rotina vulnerável a uma action;
- leitura “às cegas” de metadados de usuários ou de conteúdos: o resultado vai para o e-mail recebido pelo dono do site, e o atacante não consegue recuperá-lo pelos canais do plugin.
Não se trata, portanto, de execução de código PHP arbitrário, ao contrário da CVE-2026-18431 corrigida no fim de agosto na 3.16.1: a nota 9,1 vem de um impacto alto na integridade e na disponibilidade, sem vazamento direto de dados. A Dr. Web a conta como a quinta falha sem conta do Builder publicada desde maio; o histórico completo das falhas do Avada detalha as anteriores.
Indicadores de comprometimento e verificações
Na data deste artigo, nenhuma fonte reconhecida documenta exploração: a CISA registrava “nenhuma” em 11 de outubro, a falha não consta do seu catálogo KEV e, segundo a Dr. Web, nem o Wordfence nem a CISA relatavam ataques em 12 de outubro. Nem o Wordfence nem a ThemeFusion publicaram indicadores de comprometimento. As verificações abaixo são, portanto, checagens de bom senso, não uma lista oficial.
Comece pelas versões instaladas:
wp theme list --fields=name,version,status
wp plugin list --fields=name,version,status
wp plugin get fusion-builder --field=versionO resultado deve ser 3.16.2 ou superior para o fusion-builder e 7.16.2 ou superior para o tema. O comando wp plugin verify-checksums não funciona neste caso: o Avada Builder não é distribuído no wordpress.org. Em seguida:
- A lixeira: conte o conteúdo com
wp post list --post_type=any --post_status=trash --format=countewp comment list --status=trash --format=count. Uma lixeira vazia quando você tinha itens recentes nela merece uma comparação com o seu último backup (o WordPress também a esvazia sozinho, por padrão depois de 30 dias). - Os e-mails de notificação e as entradas de formulários: um campo contendo
{action_hookou outros tokens entre chaves indica uma tentativa. - Os logs do servidor: uma rajada de requisições POST para
/wp-admin/admin-ajax.phpvindas de páginas de formulário, em um horário em que você normalmente não recebe nada. - As contas:
wp user list --role=administrator, caso outro plugin tenha permitido uma gravação com privilégios. - Os arquivos, sobretudo se o site ainda estava no Builder 3.16 ou anterior na época da falha de agosto:
wp core verify-checksumsefind wp-content -name "*.php" -mtime -30para os arquivos PHP modificados nos últimos 30 dias.
O que fazer agora
- Atualize o Avada para a 7.16.2 e o Avada Builder para a 3.16.2, os dois juntos. Segundo a documentação do Avada, o registro com o código de compra é necessário para receber as atualizações; a Dr. Web lembra que só as instalações registradas recebem a atualização automática. Um site não registrado precisa ser atualizado manualmente.
- Se você não puder atualizar imediatamente, a Dr. Web recomenda remover as tags de campos das mensagens de notificação. Escreva um texto fixo em vez de esvaziar o campo, já que uma mensagem vazia retoma todos os campos por padrão. Despublicar os formulários é a opção mais segura.
- Se conteúdos sumiram, restaure-os a partir de um backup anterior.
- Chaves e senhas: esta falha não dá acesso direto aos segredos do site. Por outro lado, se o site ficou muito tempo com um Builder antigo, trate-o como potencialmente comprometido: gere novamente as chaves do
wp-config.php(wp config shuffle-salts), troque as senhas dos administradores e revogue as senhas de aplicativo, analise os arquivos e siga o nosso guia de limpeza de um site invadido.
Reduzir a exposição da próxima vez
- Ative as atualizações automáticas das versões de segurança e, no caso do Avada, mantenha a licença registrada: sem ela, a correção não chega.
- Assine alertas de vulnerabilidades e um monitoramento que cubram também os seus produtos comerciais, e acompanhe as atualizações pendentes de todos os seus sites.
- Limite as contas e as permissões ao estritamente necessário (funções e menor privilégio).
- Mantenha backups regulares, fora do servidor e testados: é o único remédio para uma exclusão definitiva.
- Um firewall de aplicação com correções virtuais (WAF e virtual patching) pode bloquear esse tipo de requisição durante a janela entre a divulgação e a atualização.
Quanto ao WP Masquerade Pro, sejamos claros sobre o que ele teria feito aqui. Os alertas de vulnerabilidades comparam todos os dias as versões instaladas dos plugins e temas distribuídos no wordpress.org com a base WPVulnerability.net, com um e-mail como aviso; o Avada e o Avada Builder não são distribuídos lá, portanto não são verificados e esta falha não teria disparado nenhum alerta. O registro de atividades dos administradores registra criações de contas, mudanças de função e instalações de plugins, o que destacaria um administrador inesperado, mas ele só vê o que passa pelo WordPress desde a sua ativação. A verificação de integridade cobre apenas os arquivos do núcleo. A área de membros mostra as atualizações pendentes e os sites vulneráveis de todos os seus sites. A ferramenta alerta: ela não corrige nada e não é um firewall.
Para lembrar
- CVE-2026-97670: falha crítica (9,1) sem conta no Avada Builder 3.16.1 e anteriores, publicada pelo Wordfence em 9 de outubro de 2026.
- Um formulário do Avada em AJAX com uma notificação que insere os campos, a configuração padrão, basta para fazer o WordPress executar actions.
- Correção: Avada 7.16.2 e Avada Builder 3.16.2, disponíveis desde 30 de setembro; a licença precisa estar registrada para recebê-las.
- Nenhuma exploração documentada até 19 de outubro, mas o ataque é considerado automatizável.
- Enquanto a atualização não vem: remover as tags de campos das notificações ou despublicar os formulários.
Fontes
- CVE: CVE-2026-97670, Avada (Fusion) Builder (10 de outubro de 2026) (link externo, abre em uma nova aba)
- Avada: Version 7.16.2 Security Update (30 de setembro de 2026) (link externo, abre em uma nova aba)
- Avada: How To Set Up Avada Form Notifications (documentação, 22 de junho de 2026) (link externo, abre em uma nova aba)
- CVE: CVE-2026-97471, Avada (Fusion) Builder (14 de outubro de 2026) (link externo, abre em uma nova aba)
Outras fontes consultadas: outros registros CVE, páginas oficiais dos fornecedores, artigos da imprensa especializada, bancos de dados Wordfence e Patchstack.
