Kirki: falha crítica deixa invasor virar admin — corrija

O problema, em uma frase

O Kirki Freeform Page Builder — plugin de construção de páginas presente em mais de 500 mil sites WordPress — tem uma falha crítica (CVE-2026-8206, CVSS 9.8) que permite a um invasor tomar a conta de administrador sem precisar de senha nenhuma. A correção existe desde a versão 6.0.7, mas cerca de 150 mil sites ainda rodam versões vulneráveis — e a exploração está ativa: a Wordfence chegou a bloquear 59 ataques contra essa falha em um único período de 24 horas.

Isto não é notícia desta semana — a divulgação foi em 2 de junho. Publicamos mesmo assim porque o número de sites expostos continua enorme, e a probabilidade de o seu site (ou o de um cliente seu) estar nessa lista não é pequena.

Como o ataque funciona

A falha mora na função de “esqueci minha senha” do próprio plugin (handle_forgot_password(), na classe CompLibFormHandler). O formulário aceita o e-mail informado pelo atacante em vez de usar o e-mail cadastrado do usuário. Na prática:

1. O invasor pede o reset de senha da conta de administrador;
2. Informa o próprio e-mail no pedido;
3. O link de redefinição chega na caixa de entrada dele;
4. Ele troca a senha e entra no seu painel como admin.

Sem força bruta, sem engenharia social, sem malware. É um erro de lógica — dos que não disparam alarme nenhum até o estrago estar feito. Com a conta de admin, o passo seguinte típico é instalar plugin malicioso ou webshell, o mesmo padrão visto na onda do wp2shell, a falha crítica do núcleo do WordPress.

Você está vulnerável?

Para conferir a versão sem sair do terminal, com WP-CLI: wp plugin list --name=kirki. No painel, Plugins → Kirki → versão instalada.

Corrigir é rápido — mas não termina na atualização

Atualizar para a 6.0.7+ fecha a porta. Só que, se o seu site ficou semanas exposto com exploração ativa rolando, o trabalho honesto inclui verificar se alguém já entrou:

• Usuários: procure contas de administrador que você não criou (Usuários → Administradores). Invasor esperto cria a conta dele e some.
• Plugins e temas: algo instalado que você não reconhece? Data de instalação estranha?
• Arquivos recentes: PHP modificado nas últimas semanas em wp-content/uploads é bandeira vermelha clássica de webshell.
• Senhas e sessões: depois de limpar, troque as senhas de admin e invalide as sessões ativas.

Golpes que começam com acesso ao painel raramente terminam nele — o site vira base para phishing e distribuição de malware, e é o seu domínio que queima. É o mesmo raciocínio de defesa que aplicamos em golpes com IA: como se proteger: o custo de checar é minutos; o de não checar, semanas.

Administra vários sites? Automatize a varredura

Se você é agência ou freelancer com uma carteira de sites, checar um por um no painel não escala. Com WP-CLI e acesso SSH, a verificação da carteira inteira cabe num loop:

# para cada site da lista, versão do Kirki (vazio = não instalado)
for site in site1 site2 site3; do
  echo "== $site"
  wp plugin list --name=kirki --fields=name,version,status --path=/home/$site/public_html
done

Quem aparecer entre 6.0.0 e 6.0.6 entra na fila de atualização imediata — e na fila de auditoria, porque a janela de exposição foi de semanas. Aproveite a mesma passada para listar administradores (wp user list --role=administrator) e comparar com a lista que deveria existir. Em carteiras grandes, essa comparação é onde os invasores aparecem.

E um detalhe de gestão que quase ninguém faz: registre quando cada cliente foi atualizado. Se um site for invadido depois, saber se a brecha estava aberta na sua gestão ou antes dela muda completamente a conversa — e a sua responsabilidade.

A lição que fica (e vale para qualquer site WP)

Três hábitos baratos que teriam evitado a maior parte das invasões por essa falha:

1. Atualização automática para plugins de terceiros críticos. O WordPress permite ativar por plugin, direto na tela de Plugins. Para page builders e plugins com formulário público, deixe ligado.
2. Menos plugin, menos porta. Cada plugin com formulário público (login, reset, contato) é superfície de ataque. Se não usa, remova — desativar não basta.
3. Alerta de vulnerabilidade. Um scanner gratuito (Wordfence, Patchstack, WPScan) te avisa no dia em que um CVE sai para algo que você roda — a diferença entre corrigir no dia 1 e descobrir no dia 56.