Plugin Really Simple Security 9.8.1 corrige falha que permite contornar a autenticação em dois fatores
O que fazer
- Afeta
- Sites com o Really Simple Security anterior à 9.8.1
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o Really Simple Security para a 9.8.1 ou superiorA mais recente hoje é a 9.8.3.
- Prazo
- Até 09/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · sem ação da vítima · só em condições específicas
Passo a passo
- Se o seu site usa o Really Simple Security, atualize o plugin para a versão 9.8.1 ou superior pelo painel do WordPress.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get really-simple-ssl --field=version - Atualizar
wp plugin update really-simple-ssl
Ficou com dúvida?Falar com o suporte
O que aconteceu
O plugin Really Simple Security (antigo Really Simple SSL) para WordPress tem uma vulnerabilidade de severidade alta (CVE-2026-84777, CVSS 7.4) em todas as versões anteriores à 9.8.1. A falha permite que alguém sem login contorne a autenticação em dois fatores, a verificação extra pedida além da senha. Quem usa esse plugin em sites WordPress, em qualquer plano, deve ficar atento.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (wordfence.com)
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The Really Simple Security – Simple and Performant Security (formerly Really Simple SSL) plugin for WordPress is vulnerable to 2FA Bypass in all versions up to, and including, 9.8.0. This makes it possible for unauthenticated attackers to bypass 2FA.
Trecho curto, reproduzido para referência.Texto completo em wordfence.com
Título original e fonte
ENReally Simple Security < 9.8.1: Unauthenticated Two-Factor Authentication Bypass
Versões
- Afetadas
- < 9.8.1
- Corrigida em
- 9.8.1
- Mais recente
- 9.8.3
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.