WordPress corrige falha que permite executar código remotamente

O WordPress lançou a versão 7.0.4 para corrigir uma vulnerabilidade de gravidade elevada que pode permitir a atacantes autenticados executar código arbitrário remotamente através do carregamento de ficheiros PostScript maliciosos.

Identificada como CVE-2026-65640, a vulnerabilidade recebeu uma pontuação CVSS de 8,8 e pode ser explorada por utilizadores com permissões de Autor ou superiores. A falha afeta apenas instalações que utilizem Imagick e Ghostscript e exige que o atacante tenha permissões para carregar ficheiros.

O problema está relacionado com a forma diferente como o WordPress e o ImageMagick, através da extensão Imagick, analisam os ficheiros. Enquanto o WordPress considera a extensão do ficheiro, o ImageMagick analisa o respetivo conteúdo.

Segundo a Patchstack, esta diferença permite que um atacante carregue, por exemplo, um ficheiro com extensão PNG que contenha código PostScript. Quando o ImageMagick identifica esse conteúdo, pode recorrer ao Ghostscript para o processar, levando à execução do código malicioso.

Embora o WordPress disponha de uma função para verificar o conteúdo dos ficheiros, a empresa de gestão de vulnerabilidades explica que alguns métodos de carregamento não efetuavam essa validação, criando condições para a exploração da falha.

A correção introduzida altera a função load para verificar o conteúdo antes de o ficheiro ser enviado para o Imagick, impedindo a execução de PostScript. A atualização bloqueia também a utilização de nomes de ficheiros manipulados para levar o Imagick a recorrer ao Ghostscript.

Além do WordPress 7.0.4, a correção foi disponibilizada para todas as versões suportadas desde o ramo 4.7, de forma a proteger instalações que ainda utilizem versões anteriores da plataforma.

A Patchstack alerta que o risco é particularmente relevante para publicações com vários autores, sites de membros e outras instalações onde existam utilizadores com permissões para carregar conteúdos. Nestes ambientes, uma conta de Autor comprometida ou maliciosa poderá ser utilizada para explorar a vulnerabilidade.