Plugin LiteSpeed Cache 7.9.1 corrige falha de SSRF que dispensa login
O que fazer
- Afeta
- Sites com o LiteSpeed Cache anterior à 7.9.1
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o LiteSpeed Cache para a 7.9.1 ou superior
- Prazo
- Até 03/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · sem ação da vítima
Passo a passo
- Se o seu site usa o plugin LiteSpeed Cache, atualize-o para a versão 7.9.1 ou superior pelo painel do WordPress.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get litespeed-cache --field=version - Atualizar
wp plugin update litespeed-cache
Ficou com dúvida?Falar com o suporte
O que aconteceu
O plugin LiteSpeed Cache para WordPress tem uma vulnerabilidade do tipo SSRF (CVE-2026-84761, severidade alta, CVSS 7.2) em todas as versões até a 7.9, ou seja, anteriores à 7.9.1. SSRF é quando alguém consegue fazer o próprio site enviar requisições para outros endereços, o que pode permitir consultar e alterar informações de serviços internos. A falha pode ser explorada sem login. Afeta todos os sites WordPress que usam esse plugin, em qualquer plano.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (wordfence.com)
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The LiteSpeed Cache plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 7.9. This makes it possible for unauthenticated attackers to make web requests to arbitrary locations originating from the web application which can be used to query and modify information from internal services.
Trecho curto, reproduzido para referência.Texto completo em wordfence.com
Título original e fonte
ENLiteSpeed Cache < 7.9.1: Unauthenticated Server-Side Request Forgery
Versões
- Afetadas
- < 7.9.1
- Corrigida em
- 7.9.1
- Mais recente
- 7.9.1
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.