Falha no Ultra Addons for Contact Form 7 (CVSS 9,8): o que as agências devem verificar hoje

Em 2 de novembro de 2026, a Wordfence publicou uma falha crítica no Ultra Addons for Contact Form 7, um plugin com mais de 60.000 instalações ativas. Ela tem CVSS 9,8, não exige login e pode apagar qualquer arquivo no servidor, incluindo o wp-config.php. Uma versão corrigida está disponível há semanas, então para a maioria das agências é uma verificação rápida. Veja quem é afetado, como verificar um site de cliente em dois minutos e o que fazer se um site já parecer errado.

O que é a falha

• Identificador: CVE-2026-102435, CVSS 9,8 (crítica), reportada pela Wordfence.
• Tipo: injeção de objeto PHP sem autenticação por um campo de formulário do Contact Form 7, que leva à exclusão arbitrária de arquivos.
• Por que importa: apagar o wp-config.php faz o WordPress voltar à tela de instalação. Quem preencher essa tela pode apontar o site para o próprio banco de dados e assumir o controle.

Quem é afetado

Sites com Ultra Addons for Contact Form 7 na versão 3.5.54 ou anterior, com o complemento PDF Generator ativado e pelo menos um formulário configurado para gerar PDF. Sites que têm o plugin mas não usam a função de PDF não estão expostos a essa cadeia, mas devem atualizar mesmo assim. A versão atual é a 3.5.57; a correção veio nas versões posteriores à 3.5.54.

Não encontramos ataques confirmados nas fontes que verificamos em 5 de novembro de 2026. Algumas newsletters de segurança dizem que detalhes de exploração estão circulando, e um 9,8 sem login é o tipo de falha que é varrida rapidamente. Não espere provas de ataques.

Verifique um site em dois minutos

1. No wp-admin: Plugins, procure “Ultra Addons”. Anote a versão. Se for 3.5.54 ou inferior, abra as configurações de complementos do plugin e veja se o PDF Generator está ativado.
2. Com WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Rode em todos os sites de clientes para ter uma única lista.
3. Olhe o site público: se o site de repente mostrar a tela de instalação do WordPress ou a tela “criar um arquivo de configuração”, o wp-config.php sumiu. Trate isso como um incidente (veja abaixo).

O que fazer agora

1. Atualize para a 3.5.57 em todos os sites que têm o plugin, com ou sem a função de PDF.
2. Teste um formulário depois da atualização. Envie, confira se o e-mail chega e, se você gera PDFs, se o PDF vem anexado. Versões recentes também mudaram o envio de arquivos e o tratamento de PDFs.
3. Não consegue atualizar hoje? Desative o complemento PDF Generator até conseguir.
4. Se um site mostrar a tela de instalação: não a preencha. Tire o site do ar na hospedagem, restaure arquivos e banco de dados a partir de um backup anterior ao problema, atualize o plugin e depois troque as senhas do banco de dados e dos administradores e os salts no wp-config.php. Procure contas de administrador e arquivos desconhecidos. Nossa rotina para dia de vulnerabilidade e o guia de restauração têm todos os passos.

Como a Verploy ajuda

Cada atualização é verificada. As arriscadas são testadas primeiro numa cópia, incluindo os formulários. Vulnerabilidades conhecidas aparecem por site com link para a fonte, então um único painel mostra quais sites de clientes ainda usam a 3.5.54 ou anterior. Backups noturnos criptografados na UE dão a você um ponto limpo para voltar. Saiba mais sobre o monitoramento de vulnerabilidades para agências.

Fonte: registro CVE-2026-102435 (atribuído pela Wordfence), publicado em 2 de novembro de 2026, wordfence.com; página e changelog do plugin, wordpress.org. Verificado em 5 de novembro de 2026.