Uma vulnerabilidade crítica descoberta no Avada, um dos temas comerciais mais populares do WordPress, colocou administradores de sites em alerta. A falha, identificada como CVE-2026-18431, pode permitir que um invasor não autenticado execute código PHP no servidor e, em determinadas condições, obtenha controle completo de um site.

O problema recebeu pontuação 9,8 de 10 na escala CVSS, classificação considerada crítica. A vulnerabilidade afeta instalações do Avada até a versão 7.16 quando utilizadas em conjunto com o Fusion Builder até a versão 3.16.

A ThemeFusion, desenvolvedora responsável pelo Avada, já disponibilizou as versões corrigidas Avada 7.16.1 e Fusion Builder 3.16.1. A recomendação é que administradores façam a atualização o mais rapidamente possível.

Ataque não exige login ou clique da vítima

De acordo com pesquisadores da Wordfence, o problema é especialmente preocupante porque a cadeia de ataque pode ser iniciada sem que o criminoso tenha uma conta no WordPress.

Também não é necessário convencer um administrador a clicar em um link ou abrir um arquivo malicioso.

A vulnerabilidade envolve uma sequência de seis falhas de segurança diferentes que, quando combinadas na ordem correta, permitem chegar à execução remota de código.

Individualmente, essas falhas não seriam suficientes para comprometer completamente um servidor. O risco aparece quando todas elas são encadeadas.

Em termos simplificados, determinadas falhas de autorização e validação permitem que dados controlados pelo atacante alcancem funções internas que deveriam estar protegidas.

Ao final da cadeia, o invasor pode conseguir gravar um arquivo PHP controlado por ele no servidor. Se esse arquivo for posteriormente executado pelo servidor web, o atacante passa a ter capacidade de executar comandos dentro do ambiente comprometido.

O que um invasor poderia fazer?

Uma exploração bem-sucedida pode resultar no comprometimento completo do site.

Entre as possíveis consequências estão instalação de malware, criação de acessos não autorizados, manipulação de páginas, acesso a informações armazenadas no banco de dados e redirecionamento de visitantes para páginas maliciosas.

Dependendo da configuração do servidor e dos privilégios disponíveis para a aplicação, o incidente também pode ultrapassar o próprio painel administrativo do WordPress.

Por se tratar de uma vulnerabilidade de execução remota de código, ou RCE (Remote Code Execution), esse tipo de falha é considerado uma das categorias mais graves na segurança de aplicações web.

Nem toda instalação do Avada pode ser explorada da mesma maneira

Apesar da gravidade, existem condições necessárias para que a cadeia demonstrada pelos pesquisadores funcione.

Segundo a Wordfence, o site precisa ter o Avada e o Fusion Builder vulneráveis instalados e ativos. Além disso, é necessário que exista determinado conteúdo previamente criado por um administrador que possa ser utilizado durante a cadeia de exploração.

Por isso, afirmar que qualquer instalação do Avada pode automaticamente ser comprometida seria impreciso.

Ainda assim, pela severidade da vulnerabilidade e pela enorme base de usuários do produto, pesquisadores recomendam que administradores não tentem determinar se seu site possui exatamente todas as condições necessárias antes de atualizar.

O Avada é um dos temas comerciais de WordPress mais vendidos do mundo e, segundo a Wordfence, já ultrapassou a marca de 1 milhão de vendas. Esse número representa licenças comercializadas e não necessariamente 1 milhão de sites atualmente vulneráveis.

Vulnerabilidade foi descoberta com ajuda de inteligência artificial

Um dos aspectos mais curiosos do caso está na forma como a vulnerabilidade foi encontrada.

A Wordfence afirma que a cadeia foi descoberta por um sistema de pesquisa de segurança baseado em inteligência artificial chamado Argus.

Segundo a empresa, o agente conseguiu analisar o código, identificar as seis vulnerabilidades que poderiam ser combinadas e produzir uma prova de conceito funcional em aproximadamente duas horas.

A empresa não divulgou detalhes suficientes para reprodução pública completa do ataque, justamente para reduzir o risco de exploração enquanto administradores ainda atualizam seus sites.

O episódio também demonstra uma nova realidade no setor de cibersegurança: ferramentas de inteligência artificial começam a ser utilizadas não apenas para identificar pequenas falhas isoladas, mas também para analisar caminhos de ataque significativamente mais complexos.

Linha do tempo da descoberta

A Wordfence afirma ter identificado e confirmado a vulnerabilidade em 30 de julho de 2026.

Os detalhes foram enviados de forma privada à ThemeFusion em 5 de agosto. A desenvolvedora reconheceu o problema cinco dias depois e, em 12 de agosto, apresentou aos pesquisadores uma versão preliminar da correção.

As versões corrigidas foram disponibilizadas ao público em 25 de agosto de 2026.

A própria Avada confirmou oficialmente que a versão 7.16.1 corrige uma vulnerabilidade de execução remota de código presente no componente Fusion Patcher e agradeceu à Wordfence pela descoberta.

Como proteger um site que utiliza Avada

A principal recomendação é atualizar imediatamente para:

Avada 7.16.1 ou superior 

e

Fusion Builder 3.16.1 ou superior

Como os dois componentes participam da cadeia de vulnerabilidade, a recomendação da Wordfence é atualizar ambos.

A ThemeFusion também recomenda realizar um backup completo do site e do banco de dados antes de atualizações importantes, permitindo que a instalação seja restaurada caso algum problema ocorra durante o processo.

Usuários das versões Premium, Care e Response do Wordfence receberam uma regra de firewall contra técnicas conhecidas de exploração no próprio dia em que a vulnerabilidade foi confirmada, em 30 de julho.

Segundo a empresa, usuários da versão gratuita do Wordfence devem receber a mesma proteção em 29 de agosto de 2026. Mesmo assim, o firewall não deve ser tratado como substituto para a atualização do Avada e do Fusion Builder.

Falha reforça importância de manter WordPress atualizado

O caso do Avada demonstra novamente que manter o WordPress atualizado envolve muito mais do que atualizar apenas o núcleo da plataforma.

Temas e plugins adicionam milhares de linhas de código e novas funcionalidades aos sites, aumentando também a superfície que pode ser analisada por criminosos.

Para empresas que utilizam WordPress em lojas virtuais, portais de notícias, páginas institucionais ou sistemas que armazenam informações de clientes, atrasar atualizações críticas pode transformar uma vulnerabilidade já corrigida em uma porta de entrada para ataques.

No caso do Avada, a correção já está disponível.

Administradores que utilizam o tema devem verificar imediatamente a versão instalada e aplicar a atualização de segurança.