Plugin Rank Math SEO 1.0.277 corrige falha que permite execução de código por usuários com acesso de autor
O que fazer
- Afeta
- Sites com o Rank Math SEO anterior à 1.0.277
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o Rank Math SEO para a 1.0.277 ou superiorA mais recente hoje é a 1.0.280.
- Prazo
- Até 04/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · com login privilegiado · sem ação da vítima
Passo a passo
- Vale também revisar quem tem perfil de autor ou superior no site.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get seo-by-rank-math --field=version - Atualizar
wp plugin update seo-by-rank-math
Ficou com dúvida?Falar com o suporte
O que aconteceu
O plugin Rank Math SEO para WordPress tem uma vulnerabilidade (CVE-2026-81757, gravidade alta, CVSS 7.2) em todas as versões anteriores à 1.0.277. A falha ocorre porque o plugin não valida bem dados enviados por usuários, o que permite que alguém logado com perfil de autor ou superior execute comandos no servidor do site. Quem usa esse plugin em qualquer plano deve se atentar, principalmente sites com vários usuários cadastrados.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (wordfence.com)
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The Rank Math SEO – AI SEO Tools to Dominate SEO Rankings plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 1.0.276. This is due to insufficient validation of user supplied input before it is executed. This makes it possible for authenticated attackers, with author-level access and above, to execute arbitrary code on the server.
Trecho curto, reproduzido para referência.Texto completo em wordfence.com
Título original e fonte
ENRank Math SEO < 1.0.277: Authenticated (Author+) Remote Code Execution
Versões
- Afetadas
- < 1.0.277
- Corrigida em
- 1.0.277
- Mais recente
- 1.0.280
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.