O Jetpack é o plugin "canivete suíço" da Automattic, instalado em milhões de sites e muitas vezes conectado permanentemente ao WordPress.com. O seu histórico de segurança é instrutivo: poucas falhas graves, mas três correções enviadas para dezenas de branches ao mesmo tempo, uma delas imposta a todos os sites. Veja o que foi encontrado desde 2020, o que era realmente explorável e como se manter atualizado sem precisar pensar nisso.
O Jetpack em resumo
O Jetpack é publicado pela Automattic, que opera o WordPress.com e também desenvolve o WooCommerce. A página do plugin no wordpress.org, adicionado ao diretório em janeiro de 2011, exibe mais de 3 milhões de instalações ativas. Ele reúne dezenas de módulos: estatísticas, formulários de contato, galerias Carousel, vídeos VideoPress, compartilhamento social, newsletter, acelerador de imagens, mas também funções de segurança (proteção contra força bruta, login pelo WordPress.com) e o acesso às ofertas pagas de backup e de verificação.
Essa abrangência explica o interesse que ele desperta nos pesquisadores: cada módulo acrescenta shortcodes, blocos, rotas da API REST e trocas com os servidores do WordPress.com. Uma falha no Jetpack afeta potencialmente milhões de sites, um alvo ideal para um ataque em massa.
A cronologia das falhas do Jetpack
Antes de 2020, dois episódios estabeleceram o modelo. Em 10 de abril de 2014, o Jetpack 2.9.3 corrigia um contorno dos controles de acesso (CVE-2014-0173) presente desde a versão 1.9; a equipe de segurança do WordPress enviou a correção a todas as branches afetadas pelo sistema de atualização automática do núcleo. Em maio de 2016, o Jetpack 4.0.3 corrigia um XSS armazenado nos shortcodes, relatado por Marc-Alexandre Montpas (Sucuri) e presente desde a versão 2.0; segundo um desenvolvedor do Jetpack citado pelo WP Tavern, quase 3 milhões de sites foram atualizados automaticamente em cerca de doze horas.
A tabela abaixo traz as falhas significativas publicadas desde 2020: com nota alta, exploráveis sem conta ou corrigidas por uma onda de versões. Para as suas três ondas de correções, o Jetpack declarava não ter nenhuma prova de exploração; para as outras, não encontramos nenhum ataque documentado nas fontes consultadas (Jetpack, WPScan, Patchstack, Wordfence, catálogo KEV da CISA).
| Publicação | Corrigida na | Tipo | CVSS | CVE | Conta necessária |
|---|---|---|---|---|---|
| 1º de junho de 2021 | 9.8 | Vazamento dos comentários de imagens de conteúdos não publicados (Carousel) | 5,3 | CVE-2021-24374 | Nenhuma |
| 30 de maio de 2023 | 12.1.1 e 102 versões (afetadas: 2.0 a 12.1) | Manipulação de arquivos via API | 8,8 (Wordfence), 8,0 (WPScan) | CVE-2023-2996 | Autor |
| 15 de novembro de 2023 | 12.7 | Clickjacking por injeção de iframe | 5,4 | CVE-2023-47774 | Colaborador |
| 15 de novembro de 2023 | 12.8-a.3 (afetadas: até 12.8-a.1) | XSS armazenado via um atributo de bloco | 6,5 | CVE-2023-45050 | Colaborador |
| 13 de maio de 2024 | 13.4 | XSS armazenado via o shortcode wpvideo | 6,4 | CVE-2024-4392 | Colaborador |
| 4 de setembro de 2024 | 13.8 | Execução de blocos e shortcodes arbitrários | 5,6 | CVE-2024-10075 | Nenhuma |
| 14 de outubro de 2024 | 13.9.1 e 101 versões (afetadas: 3.9.9 a 13.9) | Leitura das mensagens do formulário de contato | 4,3 | CVE-2024-9926 | Assinante |
| 4 de dezembro de 2024 | 14.1 (afetadas: 13.0 a 14.0) | DOM-XSS, somente sites hospedados no WordPress.com | 6,1 (CISA), 4,7 (WPScan) | CVE-2024-10858 | Nenhuma (clique da vítima) |
| 1º de setembro de 2026 | 16.1.3 e 42 versões (afetadas: 12.0 a 16.1.2 segundo o Jetpack) | Injeção de objeto PHP na importação | 7,2 (Patchstack) | Nenhuma CVE publicada | Administrador ou usuário autorizado a importar |
| 7 de setembro de 2026 | 16.1.3 e correções por branch (afetadas: 14.5 a 16.1.2) | XSS refletido que se torna armazenado (republicação do Reader) | 7,1 (WPScan), 6,1 (Patchstack) | Nenhuma CVE publicada | Nenhuma (clique de um usuário conectado) |
| 7 de outubro de 2026 | 16.3 | Contorno de autenticação no Account Protection (duas falhas) | 5,4 e 4,8 | CVE-2026-106601, CVE-2026-106602 | Nenhuma |
As outras falhas do período são menores e exigem uma conta de colaborador: um controle de acesso ausente em rotas REST de mídias externas (CVE-2023-47788, novembro de 2023, corrigido na 12.7), um XSS armazenado corrigido na 13.2.1 (março de 2024) e um XSS armazenado via acelerador de imagens, comum ao Jetpack e ao Jetpack Boost (CVE-2024-10076, corrigido na 13.8). A publicação de setembro de 2026 incluía também um controle de acesso ausente na API Media do WordPress.com (CVSS 4,3 segundo a Patchstack). Por fim, em 2026, a VulnCheck atribuiu duas CVE a antigos XSS refletidos do formulário de contato das versões 9.1 e 11.4 (CVE-2022-50958 e CVE-2023-54332).
As falhas marcantes explicadas
Maio de 2023: um autor podia mexer nos arquivos do site (CVE-2023-2996)
Em 30 de maio de 2023, o Jetpack publicou a versão 12.1.1, apresentada como uma atualização de segurança crítica. Durante uma auditoria interna, a equipe havia descoberto um defeito em uma API presente desde a versão 2.0, lançada em 2012: um usuário com a função Autor podia manipular qualquer arquivo da instalação do WordPress. O registro da CVE, publicado pelo WPScan, explica que os arquivos enviados não eram validados, o que permitia excluir arquivos e, em casos raros, executar código via uma desserialização phar. A Wordfence deu nota 8,8 à falha, o WPScan 8,0.
A resposta teve uma amplitude incomum: com a equipe de segurança do wordpress.org, o Jetpack publicou no mesmo dia 102 versões corrigidas, da 2.0.9 à 12.1.1, uma por branch. No fórum de suporte, Jeremy Herve (Jetpack) confirmou que essa atualização ignorou as configurações individuais de atualização automática dos plugins: o wordpress.org atualizou todos os sites que usavam o Jetpack para uma versão segura. O Jetpack informava não ter nenhuma prova de exploração. Uma conta de Autor bastava: em um site com vários autores, é um nível de acesso comum, daí a importância de limitar as funções ao estritamente necessário.
Setembro de 2024: shortcodes executados sem conta (CVE-2024-10075)
O Jetpack 13.8, publicado em 4 de setembro de 2024, corrigia uma falha encontrada por Marc Montpas (WPScan) no formulário de contato. Segundo o registro da CVE, o Jetpack não verificava se o conteúdo criado pelo formulário era acessível somente aos usuários autorizados, o que permitia a um visitante anônimo fazer executar shortcodes e blocos arbitrários. A nota continua média (5,6): o ataque é complexo e o seu impacto depende dos shortcodes do site. A mesma versão corrigia um XSS armazenado via o acelerador de imagens, compartilhado com o Jetpack Boost.
Outubro de 2024: as mensagens dos formulários legíveis por qualquer assinante (CVE-2024-9926)
Em 14 de outubro de 2024, o Jetpack publicou a versão 13.9.1 e anunciou ter descoberto, durante uma nova auditoria interna, uma falha do formulário de contato presente desde a versão 3.9.9, de 2016: qualquer usuário conectado ao site podia ler os formulários enviados pelos visitantes. Tecnicamente, faltava uma verificação de autorização em uma rota da API REST; uma simples conta de Assinante bastava. A CVE dá o crédito a Marc Montpas e ao WPScan.
A nota CVSS é modesta (4,3), mas os dados expostos não eram: nomes, endereços de e-mail e conteúdo das mensagens. Em um site que aceita cadastros livres, qualquer pessoa podia criar uma conta e depois ler esses dados. O Jetpack publicou com a equipe de plugins do wordpress.org 101 versões corrigidas, da 3.9.10 à 13.9.1, informando que a maioria dos sites tinha sido ou logo seria atualizada automaticamente e que nenhuma exploração era conhecida. Veja também o nosso artigo sobre a segurança da API REST.
Dezembro de 2024: um XSS limitado aos sites do WordPress.com (CVE-2024-10858)
Relatada pelo pesquisador Eldar (hakupiku) via WPScan, essa falha afetava as versões 13.0 a 14.0: a origem das mensagens postMessage era mal verificada, o que abria um XSS no navegador sem conta, desde que a vítima seguisse um link malicioso. A CVE esclarece que ela só dizia respeito aos sites hospedados no WordPress.com. O Jetpack 14.1, publicado em 3 de dezembro de 2024, a corrigiu.
Setembro de 2026: injeção de objeto PHP na importação, 42 versões corrigidas
O Jetpack 16.1.3 saiu em 1º de setembro de 2026, anunciado no dia seguinte como uma atualização de segurança crítica. O defeito principal, presente segundo o Jetpack desde a versão 12.0 de 2023, estava na função de importação: ao restaurar os metadados de um post importado, o plugin desserializava esses dados sem restrição. Um usuário autorizado a importar conteúdo podia assim fazer o site construir objetos PHP, o que pode levar a outros ataques conforme o código presente (o mecanismo está detalhado no nosso artigo sobre a injeção de objeto PHP). A Patchstack classifica a falha com 7,2 e indica que é necessária uma conta de administrador.
A mesma versão passa a verificar as permissões de edição antes de associar uma mídia a um post via a API Media, e limpa os parâmetros de URL usados pela função de republicação do Reader. Esta última falha, um XSS refletido que podia se tornar armazenado, afetava as versões 14.5 a 16.1.2; o WPScan lhe dá nota 7,1. O Jetpack publicou 42 versões, da 12.0.3 à 16.1.3, com a equipe de plugins do wordpress.org, e informa que os sites afetados foram atualizados automaticamente, sem prova de exploração.
Outubro de 2026: Account Protection contornado (CVE-2026-106601 e CVE-2026-106602)
As últimas falhas publicadas antes deste artigo miram o Account Protection, a função do Jetpack que acrescenta uma verificação por código em certos logins. Relatadas à Patchstack em 20 de agosto de 2026 por Ananda Dhakal e publicadas em 7 de outubro, elas permitiam contornar essa verificação sem conta: por força bruta no código de verificação (CVSS 4,8) e via uma verificação de capacidade incorreta em multisite (CVSS 5,4), segundo os títulos do WPScan. A complexidade do ataque é alta, daí as notas médias. O Jetpack 16.3, de 6 de outubro de 2026, as corrige; o seu changelog menciona uma verificação de login aprimorada no Account Protection.
O que o histórico do Jetpack mostra
- As auditorias internas encontram as falhas mais amplas. As três ondas de correções de 2023, 2024 e 2026 vêm de auditorias conduzidas pela Automattic, não de ataques constatados.
- Defeitos antigos. A falha de 2023 remontava a 2012, a de 2024 a 2016, a de 2026 a 2023. Um plugin muito rico acumula código que ninguém revisa durante anos.
- O formulário de contato aparece com frequência. Leitura das mensagens, execução de shortcodes, XSS refletidos antigos: é o módulo mais citado do período.
- As contas com poucos privilégios contam. A maioria das falhas exige uma conta de Colaborador, Autor ou Assinante. O tipo mais frequente continua sendo o XSS, como em todo o ecossistema (veja o nosso artigo sobre as falhas XSS).
- Correções com backport e enviadas aos sites. 102 versões em 2023, 101 em 2024, 42 em 2026: o Jetpack também corrige as branches antigas, e o wordpress.org forçou a atualização em 2014 e em 2023, mesmo nos sites que a tinham desativado. Esse privilégio é reservado a casos graves e não substitui as suas próprias atualizações.
O Jetpack não é um caso isolado: as falhas de plugins se contam aos milhares todos os anos, e o próprio núcleo publica regularmente versões de segurança, como mostra a nossa cronologia das falhas do núcleo do WordPress.
Como se proteger
- Atualize. Em 9 de outubro de 2026, a versão a alcançar é a 16.3 ou posterior. Em uma branch antiga, verifique se você está pelo menos na versão corretiva publicada para ela.
- Ative as atualizações automáticas do Jetpack. As atualizações forçadas são raras; não conte com elas. O nosso guia das atualizações automáticas de plugins explica como configurá-las sem risco.
- Desative os módulos desnecessários no Jetpack e exclua o plugin se não o usa mais: um plugin desnecessário continua sendo uma superfície de ataque.
- Feche os cadastros livres se não precisar deles e revise a lista das contas de Assinante, Colaborador e Autor.
- Adicione um firewall de aplicação capaz de patch virtual para cobrir o período entre a publicação de uma falha e a sua atualização: o nosso comparativo de WAF.
- Monitore as falhas publicadas para os plugins que você usa: método e ferramentas.
O WP Masquerade Pro pode ajudar você neste último ponto. Todos os dias, ele compara as versões dos plugins instalados nos seus sites com a base pública WPVulnerability.net e envia a você um alerta por e-mail com a gravidade e a versão corrigida. A área de membros também lista as atualizações pendentes e os sites vulneráveis. Ele alerta, não corrige e não é um firewall: a atualização continua por sua conta. Para escolher as outras peças da sua proteção, veja a nossa seleção de plugins de segurança.
Para lembrar
- O WPScan registra 14 falhas do Jetpack de 1º de janeiro de 2020 a 9 de outubro de 2026, 2 delas com nota alta e nenhuma crítica.
- Nenhuma exploração documentada, mas três ondas maciças de correções: 102 versões em 2023, 101 em 2024, 42 em 2026.
- Em 2014 e em 2023, o wordpress.org forçou a atualização, mesmo nos sites que a tinham desativado.
- Versão a alcançar em 9 de outubro de 2026: 16.3 ou posterior.
- Desative os módulos desnecessários e limite as contas: a maioria das falhas exige uma conta, mesmo modesta.
Fontes
- Jetpack: Jetpack 2.9.3: Critical Security Update (10 de abril de 2014) (link externo, abre em uma nova aba)
- CVE: CVE-2023-2996, Jetpack anterior à 12.1.1, manipulação de arquivos via API por um autor (27 de junho de 2023) (link externo, abre em uma nova aba)
- CVE: CVE-2024-10075, Jetpack anterior à 13.8, execução de blocos e shortcodes sem autenticação (15 de maio de 2025) (link externo, abre em uma nova aba)
- WordPress.org: página do plugin Jetpack (instalações ativas) (link externo, abre em uma nova aba)
Outras fontes consultadas: outros registros CVE, páginas oficiais dos fornecedores, publicações de pesquisadores de segurança, artigos da imprensa especializada, bancos de dados WPScan e Patchstack.
