Um plugin de segurança não escapa das falhas, e o Really Simple Security é um exemplo muito bem documentado disso: treze vulnerabilidades publicadas entre abril de 2024 e setembro de 2026, entre elas uma crítica em 2024 e uma série de contornos da autenticação de dois fatores em 2026. Veja a cronologia completa, verificada registro por registro, o que cada falha realmente permitia e as versões a instalar para ficar protegido.
O Really Simple Security em resumo
O Really Simple Security é o antigo Really Simple SSL, publicado no wordpress.org desde março de 2015 pelo desenvolvedor Really Simple Plugins (slug really-simple-ssl). O plugin ficou conhecido primeiro por ativar o HTTPS com um clique e corrigir o conteúdo misto. Depois, acrescentou funções de segurança: hardening, detecção de vulnerabilidades, limitação de logins, cabeçalhos de segurança e autenticação de dois fatores (2FA). Uma edição Pro paga completa a oferta.
Ele tem mais de 3 milhões de instalações ativas segundo o wordpress.org (esse número era indicado como mais de 4 milhões, incluindo as edições Pro, pela Wordfence no fim de 2024). Duas razões fazem dele um alvo privilegiado. A primeira é a sua difusão: uma falha explorável sem conta se transforma rapidamente em ataque automatizado em grande escala. A segunda está na sua função: o código que gerencia o login e a 2FA decide diretamente quem entra na administração. Um erro nesse ponto não vaza um dado secundário, ele abre a porta.
A cronologia das falhas, de 2024 a setembro de 2026
A base do WPScan registra 13 vulnerabilidades para esse plugin, todas publicadas a partir de abril de 2024: nenhuma entrada mais antiga aparece nela. A Patchstack lista 12, porque considera dois identificadores de setembro de 2026 como a mesma falha. Dez das treze entradas são de 2026, e cinco delas dizem respeito à autenticação de dois fatores.
| Publicação | Corrigida na | Tipo | CVSS | CVE | Conta necessária | Exploração |
|---|---|---|---|---|---|---|
| 16 de abril de 2024 | 8.0.0 | Falsificação de requisição do lado do servidor (SSRF) | 5,5 | CVE-2024-31229 | Administrador | Nenhuma documentada |
| 14 de novembro de 2024 | 9.1.2 (afetadas: 9.0.0 a 9.1.1.1, gratuita, Pro, Pro Multisite) | Contorno de autenticação (2FA ativada) | 9,8 | CVE-2024-10924 | Nenhuma | Código público; tentativas observadas pela CrowdSec |
| 24 de janeiro de 2025 | 9.2.0 | Falsificação de requisição (CSRF) | 4,3 | CVE-2025-24623 | Nenhuma (clique de um administrador) | Nenhuma documentada |
| 15 de março de 2026 | 9.5.8 | Controle de acesso ausente | 4,3 | CVE-2026-32461 | Assinante | Nenhuma documentada |
| 12 de maio de 2026 | 9.5.10.1 | Contorno do segundo fator por e-mail | 7,5 (WPScan) | CVE-2026-8293 | Nenhuma, senha conhecida | Nenhuma documentada |
| 3 de junho de 2026 | 9.5.10 | Controle de acesso ausente | 6,5 (WPScan 4,3) | CVE-2026-48969 | Assinante | Nenhuma documentada |
| 3 de junho de 2026 | 9.5.10.1 | Autenticação falha | 8,1 (WPScan 5,3) | CVE-2026-48970 | Nenhuma, senha conhecida | Nenhuma documentada |
| 28 de agosto de 2026 | 9.8.0 | Instalação de plugin arbitrário em multisite | 6,6 (WPScan) | CVE-2026-81766 | Administrador de subsite | Nenhuma documentada |
| 2 de setembro de 2026 | 9.8.1 | Negação de serviço | 5,3 (WPScan 7,5) | CVE-2026-84775 | Nenhuma | Nenhuma documentada |
| 2 de setembro de 2026 | 9.8.1 | Contorno da 2FA | 7,4 (WPScan 7,5) | CVE-2026-84777 | Nenhuma | Nenhuma documentada |
| 11 de setembro de 2026 | 9.8.1 (afetadas: 9.5.10.1 a 9.8.0) | Redefinição da 2FA por e-mail | 7,5 (WPScan) | CVE-2026-89080 | Nenhuma, senha conhecida | Nenhuma documentada |
| 14 de setembro de 2026 | 9.8.2 | Período de carência da 2FA prolongado indefinidamente | 4,3 | CVE-2026-82519 | Assinante | Nenhuma documentada |
| 16 de setembro de 2026 | 9.8.3 (afetadas: 8.1.6 a 9.8.2) | Crescimento ilimitado de uma opção (negação de serviço) | 6,5 (WPScan) | CVE-2026-88798 | Nenhuma | Nenhuma documentada |
Duas diferenças de pontuação merecem destaque. Para a CVE-2026-48970, a Patchstack adota 8,1, enquanto o WPScan e a Wordfence exibem 5,3. Para a negação de serviço CVE-2026-84775, é o contrário: 5,3 na Patchstack, 7,5 no WPScan. A pontuação depende da hipótese adotada sobre as condições do ataque, daí a importância de ler a descrição e não apenas o número.
As falhas marcantes explicadas
Novembro de 2024: CVE-2024-10924, o login sem senha
É a falha mais grave do histórico, com nota 9,8. Nas versões 9.0.0 a 9.1.1.1, uma rota da API REST ligada à 2FA fazia o login do usuário solicitado mesmo quando o token de verificação era inválido. Um visitante anônimo podia assim abrir uma sessão de administrador, desde que a 2FA estivesse ativada no site (ela não está por padrão). István Márton, da Wordfence, relatou a falha em 6 de novembro de 2024; a versão 9.1.2 saiu em 12 de novembro para as edições Pro e em 14 de novembro para a edição gratuita, com uma atualização forçada coordenada com a equipe de plugins do wordpress.org. Detalhamos o mecanismo e a reação na nossa análise da falha CVE-2024-10924.
Um código de exploração foi publicado pouco depois da divulgação. O rastreador da CrowdSec indica ter observado uma primeira exploração real em 25 de novembro de 2024, mas ressalta não ter registrado atividade significativa na sua rede. A falha não consta do catálogo KEV da CISA.
Maio e junho de 2026: o segundo fator contornado com a senha
Em 2026, a 2FA do plugin voltou a ser o principal ponto fraco, mas com um cenário diferente. A CVE-2026-8293, publicada pelo WPScan em 12 de maio e relatada por John Umoru, descreve dois endpoints REST da 2FA que não exigiam de fato o código enviado por e-mail: um atacante que já conhecia a senha de uma conta obtinha uma sessão sem passar pelo segundo fator. A CVE-2026-48970, relatada à Patchstack em 17 de abril e publicada em 3 de junho, é do mesmo tipo (autenticação falha, senha da vítima necessária segundo a Patchstack). As duas são corrigidas pela versão 9.5.10.1 de 29 de abril de 2026, cujo changelog menciona uma atualização do fluxo de login com 2FA.
Essas falhas não abrem um site para qualquer um. Por outro lado, elas anulam a proteção para a qual a 2FA existe: bloquear um atacante que obteve uma senha por vazamento, phishing ou reutilização. A correção estava disponível várias semanas antes da publicação dos registros, o que deu vantagem aos sites atualizados automaticamente.
Agosto de 2026: instalar um plugin a partir de um subsite
A CVE-2026-81766, relatada por Charles Vosburgh e publicada pelo WPScan em 28 de agosto de 2026, só diz respeito às redes multisite. A função de instalação de plugins recomendados (rsp_upgrade_install_plugin) não verificava se o usuário tinha permissão para instalar plugins. O administrador de um simples subsite podia, portanto, colocar e executar código na pasta de plugins compartilhada por toda a rede, uma permissão normalmente reservada ao superadministrador. Condição importante: o superadministrador precisa ter aberto o menu Plugins aos subsites, o que não é a configuração padrão. Correção: 9.8.0, publicada em 25 de agosto de 2026.
Setembro de 2026: três versões corretivas em quinze dias
No início de setembro, vários pesquisadores miraram a mesma área do código, e o desenvolvedor lançou em sequência as versões 9.8.1 (1º de setembro), 9.8.2 (14 de setembro) e 9.8.3 (15 de setembro).
- Contorno da 2FA sem conta (CVE-2026-84777): relatado à Patchstack por Ananda Dhakal em 20 de agosto, corrigido na 9.8.1 e publicado em 2 de setembro, com nota 7,4. A Patchstack esclarece que outra autoridade publicou o mesmo problema como CVE-2026-89080, descrito pelo WPScan como a redefinição, sem autenticação, de um cadastro de 2FA por e-mail já concluído, o que permite a um atacante que conhece a senha obter a sessão, até o nível de administrador. Segundo o WPScan, esta última afeta as versões a partir da 9.5.10.1.
- Negação de serviço sem conta (CVE-2026-84775): relatada pelo mesmo pesquisador, corrigida na mesma versão 9.8.1.
- Período de carência prolongado (CVE-2026-82519): um usuário conectado, mesmo assinante, podia zerar o prazo concedido antes da ativação obrigatória da sua 2FA e adiar essa obrigação indefinidamente. Corrigida na 9.8.2.
- Opção inflada por endereços IP falsos (CVE-2026-88798): o módulo que monitora os erros 404 gravava o endereço IP declarado pelo cliente como chave de uma opção, sem validação. Um visitante anônimo podia fazer essa opção crescer sem limite e deixar lento o processamento das páginas não encontradas. Corrigida na 9.8.3.
O changelog da versão 9.8.3 menciona também a correção de um "contorno de 2FA restante na autenticação XML-RPC", sem registro de vulnerabilidade associado nas bases consultadas.
As falhas menores
O restante do histórico é de gravidade média: uma SSRF explorável somente por um administrador (2024, relatada por Ananda Dhakal, da Patchstack), uma CSRF que exige enganar um administrador (2025) e dois controles de acesso ausentes acessíveis a um simples assinante (março e junho de 2026). Em um site sem cadastro público, o risco das falhas "de assinante" continua limitado, mas se torna real em uma loja ou em um site de membros.
O que este histórico mostra
- A 2FA concentra as falhas. Uma crítica em 2024, depois cinco registros em 2026 (CVE-2026-8293, 48970, 84777, 89080 e 82519) tratam do segundo fator ou da sua obrigatoriedade. A versão 9.5.10.1, que corrigia o fluxo de login com 2FA, é ela mesma afetada pela CVE-2026-89080 segundo o WPScan: o código de autenticação é o mais delicado de um plugin de segurança.
- A explosão de 2026 também reflete a atenção dos pesquisadores. Dez registros em nove meses, vindos da Patchstack, do WPScan e da VulnCheck, muitas vezes no âmbito de programas de recompensa. Mais relatos não significam um código pior que o de outros, e sim que um plugin muito instalado e ligado à segurança é examinado de perto.
- As correções chegam rápido. Oito dias entre o relato e a correção para a CVE-2024-10924, doze dias para a CVE-2026-48970, doze dias também para a CVE-2026-84777. Em vários casos, a versão corrigida saiu antes da publicação do registro.
- A atualização forçada continua sendo a exceção. Ela está documentada em 2024 para a falha crítica; não encontramos nenhuma menção a uma atualização forçada para as falhas de 2026. Os sites sem atualizações automáticas ficaram, portanto, expostos até a intervenção do seu administrador.
- Uma vantagem relativa dos contornos de 2026: a maioria pressupõe que o atacante já conheça a senha. Uma senha única e forte limita, portanto, o seu alcance, o que não era o caso em 2024.
Esse padrão não é exclusivo do Really Simple Security: a nossa cronologia das versões de segurança do núcleo do WordPress e os nossos números sobre os plugins vulneráveis mostram que todo software muito difundido passa por esse ritmo. O que importa é a velocidade com que a correção chega ao seu site.
Como se proteger
- Verifique a versão em Plugins: a 9.8.3 ou posterior corrige todas as falhas listadas aqui. Com uma edição Pro, certifique-se de que a licença está ativa, porque uma licença expirada não recebe mais as atualizações.
- Ative as atualizações automáticas para este plugin, como explicado no nosso guia sobre as atualizações automáticas de plugins. As falhas de 2026 mostram que não se deve contar com uma atualização forçada.
- Mantenha a 2FA, mas não a considere a única barreira: senhas únicas e a limitação das tentativas de login reduzem o interesse dos contornos que pressupõem uma senha conhecida. O nosso artigo sobre a autenticação de dois fatores detalha as boas práticas.
- Evite duplicações: se outro plugin já cuida da 2FA ou da segurança do login, desative a função duplicada ou exclua o plugin desnecessário (veja plugins abandonados e desnecessários). Menos código ativo significa menos superfície de ataque.
- Adicione um firewall de aplicação capaz de aplicar correções virtuais (comparativo de WAF). Em 2024, a Wordfence distribuiu uma regra em 6 de novembro para os seus clientes pagos e em 6 de dezembro para a versão gratuita; a Patchstack indica, por outro lado, que nenhuma correção virtual era possível para a CVE-2026-48970 ou a CVE-2026-84777.
- Monitore as falhas publicadas para os plugins instalados, como descrito no nosso artigo sobre o monitoramento de vulnerabilidades.
O WP Masquerade Pro pode ajudar você neste último ponto, sem substituir as atualizações. Ele compara todos os dias as versões instaladas dos seus plugins e temas com a base pública WPVulnerability.net e envia a você um alerta de vulnerabilidade por e-mail com a gravidade e a versão corrigida. As atualizações pendentes e os sites vulneráveis aparecem na área de membros (monitoramento dos sites). O WP Masquerade não corrige as falhas e não é um firewall: ele avisa você para que aplique a correção a tempo. Para comparar os plugins de segurança, consulte a nossa seleção dos melhores plugins de segurança para WordPress.
Para lembrar
- 13 falhas publicadas no WPScan de abril de 2024 a 24 de setembro de 2026, 10 delas em 2026.
- Uma única crítica: CVE-2024-10924 (9,8), corrigida na 9.1.2 com atualização forçada.
- Cinco registros de 2026 dizem respeito à autenticação de dois fatores; a maioria pressupõe uma senha já conhecida.
- Versão mínima recomendada em 24 de setembro de 2026: 9.8.3.
- Atualizações automáticas, senhas únicas e monitoramento das falhas continuam sendo as melhores defesas.
Fontes
- WordPress.org: Really Simple Security, changelog (versões 9.1.2 a 9.8.3) (link externo, abre em uma nova aba)
- NVD: CVE-2024-10924 (15 de novembro de 2024) (link externo, abre em uma nova aba)
- CVE.org: CVE-2024-31229, Really Simple SSL até 7.2.3 SSRF (18 de abril de 2024) (link externo, abre em uma nova aba)
- CISA: Known Exploited Vulnerabilities Catalog (link externo, abre em uma nova aba)
Outras fontes consultadas: outros registros CVE, páginas oficiais dos fornecedores, publicações de pesquisadores de segurança, bancos de dados Wordfence, WPScan e Patchstack.
