WooCommerce 11.1.0 corrige falha que permite tirar o site do ar sem login
O que fazer
- Afeta
- Sites com o WooCommerce anterior à 11.1.0
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o WooCommerce para a 11.1.0 ou superiorA mais recente hoje é a 11.1.2.
- Prazo
- Até 11/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · sem ação da vítima
Passo a passo
- Em Plugins › Plugins instalados, veja a versão logo abaixo do nome do WooCommerce. Se estiver abaixo da 11.1.0, clique em Atualizar.
- Não usa o WooCommerce? Nada a fazer. Se ele está instalado e desativado, remova: plugin parado também conta.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get woocommerce --field=version - Atualizar
wp plugin update woocommerce
Ficou com dúvida?Falar com o suporte
O que aconteceu
O plugin WooCommerce para WordPress tem uma vulnerabilidade de negação de serviço (CVE-2026-48888, severidade alta, CVSS 7.5) nas versões anteriores à 11.1.0. A falha vem de uma validação insuficiente de dados enviados ao site e permite que qualquer pessoa, mesmo sem login, deixe o site indisponível. Todos os donos de sites que usam WooCommerce em versão anterior à 11.1.0 devem ficar atentos, em qualquer plano.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (wordfence.com)
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The WooCommerce plugin for WordPress is vulnerable to Denial of Service in all versions up to 11.1.0. This is due to insufficient validation of user supplied input. This makes it possible for unauthenticated attackers to make the affected site unavailable.
Trecho curto, reproduzido para referência.Texto completo em wordfence.com
Título original e fonte
ENWooCommerce < 11.1.0: Unauthenticated Denial of Service
Versões
- Afetadas
- < 11.1.0
- Corrigida em
- 11.1.0
- Mais recente
- 11.1.2
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.