Seguir Uma vulnerabilidade crítica de segurança no popular plugin Forminator Forms para WordPress pode permitir que atacantes não autenticados façam upload de arquivos PHP executáveis e potencialmente assumam o controle total de sites vulneráveis. Rastreadas como CVE-2026-15748, a falha de upload de arquivo arbitrário tem uma pontuação CVSS de 9.8 e afeta as versões do Forminator até a 1.56.1 inclusive.
Forminator é um construtor de formulários amplamente usado, de arrastar e soltar, utilizado para formulários de contato, formulários de pagamento, enquetes, questionários e uploads de arquivos. O plugin tem mais de 600.000 instalações ativas. A SecurityWeek estimou que mais de 300.000 sites ainda estavam executando versões vulneráveis quando a questão foi divulgada publicamente, criando uma superfície de ataque potencial significativa.
A vulnerabilidade é particularmente perigosa porque a exploração não requer autenticação ou interação do usuário. Sob a configuração de formulário necessária, um atacante pode manipular o manuseio de submissão do Forminator, contornar restrições em tipos de arquivos perigosos e fazer upload de código PHP no servidor web. Se o arquivo carregado puder ser executado, o ataque pode progredir diretamente para execução remota de código e comprometimento completo do site WordPress.
Análise CVE-2026-15748
A vulnerabilidade se origina na função handle_file_upload() do Forminator e resulta de uma combinação de validação insuficiente do tipo de arquivo e manuseio não seguro de dados de configuração de formulário controlados por atacantes. Em vez de confiar em uma única falha de validação, um atacante encadeia várias fraquezas no processo de submissão do formulário para transformar dados comuns controlados pelo usuário em uma configuração de upload forjada.
A exploração bem-sucedida requer um formulário Forminator publicado contendo tanto um campo de Upload de Arquivo quanto um campo de Seleção. A Wordfence descobriu que um campo de Seleção pode ser abusado como portador para dados especialmente criados aninhados porque o sanitizador de solicitações genéricas do Forminator permite que certos valores aninhados alcancem estágios de processamento posteriores.
Um atacante pode manipular esses dados para que o campo de Seleção efetivamente se passe por um registro de Upload. O registro forjado pode incluir valores controlados pelo atacante que definem o nome do campo, tipo e configuração. Quando o formulário também contém um campo genuíno de Upload de Arquivo, a rotina de processamento de upload do Forminator opera na entrada forjada e passa a configuração fornecida pelo atacante para o manipulador de upload como se fosse legítima.
A segunda parte do exploit atinge a lista de bloqueio de extensões perigosas do Forminator. O plugin tenta remover tipos de arquivos como PHP, JavaScript, arquivos executáveis, scripts de shell e outros formatos potencialmente perigosos. No entanto, a implementação vulnerável realiza uma correspondência de chave exata.
A Wordfence demonstrou que um atacante pode fornecer uma expressão alternativa de extensão e tipo MIME que não é reconhecida pela lista de bloqueio, mas ainda é interpretada pelo WordPress como correspondendo a um arquivo .php. Isso permite que uma carga útil executável PHP passe pelo processo de validação de arquivo vulnerável e seja gravada no servidor.
A CVE-2026-15748 afeta todas as versões do Forminator Forms até a versão 1.56.1 inclusive. O problema é categorizado como CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso, e seu vetor CVSS reflete exploração baseada em rede com baixa complexidade, sem privilégios, sem interação do usuário e potencialmente alto impacto na confidencialidade, integridade e disponibilidade.
Há uma condição adicional que determina se o upload de arquivo arbitrário pode se tornar imediatamente execução remota de código. Na configuração padrão do Forminator, os arquivos carregados são armazenados em um diretório contendo um arquivo .htaccess projetado para impedir a execução de PHP.
No entanto, os administradores podem configurar uma raiz de Armazenamento de Upload de Arquivo Personalizado. A Wordfence descobriu que esse diretório personalizado pode ser criado sem a mesma proteção de .htaccess porque ele pode ser inicializado primeiro durante uma solicitação de frontend onde o assistente do WordPress responsável por criar o arquivo de proteção está indisponível. Nessa configuração, simplesmente solicitar o arquivo PHP carregado malicioso pode fazer com que o servidor web execute o código do atacante.
Os detalhes mais importantes para CVE-2026-15748 envolvem tanto o design do formulário vulnerável quanto a configuração de armazenamento de upload. Um site com o plugin afetado não é automaticamente explorável através da cadeia de RCE demonstrada, a menos que os campos necessários de Upload de Arquivo e Seleção estejam presentes, enquanto o armazenamento personalizado de upload pode aumentar significativamente as consequências do upload bem-sucedido de arquivos.
Uma vez obtida a execução de PHP, um atacante poderia implantar uma shell web e usá-la para assumir o controle da instalação do WordPress. Dependendo dos privilégios do servidor e da arquitetura de hospedagem, isso pode permitir a modificação do conteúdo do site, roubo de credenciais, acesso ao banco de dados, distribuição de malware, criação de contas de administrador, persistência ou movimento adicional no ambiente de hospedagem subjacente. A Wordfence avisa especificamente que vulnerabilidades de upload de arquivo arbitrário deste tipo podem levar a um comprometimento total do site.
A vulnerabilidade foi descoberta pelo pesquisador de segurança daroo e relatada por meio do Programa de Recompensa de Bug da Wordfence. A Wordfence recebeu a submissão inicial em 11 de julho de 2026, validou a questão e confirmou o PoC CVE-2026-15748 no dia 14 de julho, e forneceu detalhes técnicos completos para a equipe de desenvolvimento do Forminator no mesmo dia.
O desenvolvedor reconheceu a vulnerabilidade em 20 de julho e enviou uma correção para revisão. A versão 1.56.2 do Forminator, contendo a correção completa de segurança, foi lançada em 31 de julho de 2026. A vulnerabilidade foi detalhada publicamente pela Wordfence em meados de agosto.
No momento da divulgação, não houve relatos de exploração ativa na natureza. As informações de enriquecimento de vulnerabilidade da CISA também listaram a exploração como “nenhuma” em 18 de agosto, embora tenham classificado a exploração como automatizável e o impacto técnico potencial como total.
Atualmente, não existem IOCs específicos da campanha CVE-2026-15748 como endereços IP controlados por atacantes, domínios ou hashes de malware publicados na pesquisa citada. As organizações devem, portanto, focar em evidências comportamentais, uploads suspeitos, arquivos PHP aparecendo em diretórios de upload, e execução inesperada no servidor, em vez de confiar apenas em indicadores estáticos.
Mitigação CVE-2026-15748
Os administradores de sites devem atualizar imediatamente o Forminator Forms para a versão 1.56.2 ou posterior. A versão corrigida foi publicada em 31 de julho de 2026 e aborda totalmente a fraqueza de upload de arquivo arbitrário descrita pela Wordfence.
A detecção de CVE-2026-15748 deve começar com a identificação das instalações do WordPress executando o Forminator e a determinação de sua versão exata do plugin. Sites usando a versão 1.56.1 ou anterior devem ser tratados como vulneráveis e priorizados para correção, especialmente se os formulários públicos incluírem tanto campos de Seleção quanto de Upload de Arquivo.
Os administradores também devem inspecionar a configuração de armazenamento de arquivos do Forminator. Sites usando uma raiz de upload personalizada merecem atenção adicional porque o diretório pode não conter a proteção .htaccess que normalmente impede a execução de arquivos PHP carregados.
Para detectar tentativas de exploração do CVE-2026-15748, as equipes de segurança devem revisar o WordPress, servidor web, WAF e telemetria do sistema de arquivos para atividades como:
- Arquivos executáveis inesperados .php, .phtml ou outros em diretórios de upload do Forminator
- Submissões de formulários contendo dados aninhados incomuns associados a campos de Seleção
- Padrões suspeitos de tipo MIME ou extensão submetidos à funcionalidade de upload de arquivo
- Solicitações HTTP diretas a arquivos PHP carregados recentemente
- Novas contas de administrador do WordPress ou contas modificadas após submissões de formulários suspeitas
- Conexões de saída inesperadas iniciadas pelo processo PHP ou do servidor web
- Web shells, código PHP ofuscado ou arquivos desconhecidos aparecendo sob diretórios de conteúdo do WordPress
- Modificações inexplicáveis em temas, plugins, arquivos de configuração ou registros de banco de dados
Porque esses comportamentos podem ter causas legítimas ou não relacionadas, eles devem ser correlacionados com informações de versão do Forminator e atividade suspeita de submissão de formulário antes de serem tratados como confirmação de comprometimento.
As organizações também devem revisar logs históricos de antes da atualização. Instalar a versão 1.56.2 previne futuras explorações, mas não remove arquivos maliciosos ou mecanismos de persistência que já possam ter sido colocados no servidor.
Se evidências de exploração forem descobertas, os respondedores de incidentes devem preservar logs da web e de aplicativos, identificar cargas úteis carregadas, inspecionar o sistema de arquivos para web shells e persistência, revisar contas de administrador e credenciais de API, rodar segredos expostos do WordPress e do banco de dados, e verificar a integridade dos arquivos centrais do WordPress, plugins e temas.
A Wordfence afirma que a proteção de upload de arquivos maliciosos integrada no firewall bloqueia tentativas de explorar essa vulnerabilidade para usuários pagos e gratuitos. No entanto, um firewall de aplicação web deve ser considerado uma camada defensiva adicional e não um substituto para a atualização do plugin vulnerável.
Considerando a severidade de 9.8 da vulnerabilidade, a falta de requisitos de autenticação, a exploração potencialmente automatizável, e o grande número de instalações, a mitigação da CVE-2026-15748 deve ser tratada como uma ação de alta prioridade para organizações que operam sites WordPress voltados para a internet.
FAQ
O que é CVE-2026-15748 e como funciona?
CVE-2026-15748 é uma vulnerabilidade crítica de upload arbitrário de arquivo no plugin Forminator Forms para WordPress. Um atacante não autenticado pode manipular um formulário contendo tanto um campo de Seleção quanto um campo de Upload de Arquivo, injetar dados de configuração de upload falsificados, contornar o filtro de extensão perigosa do plugin e fazer upload de um arquivo PHP executável. Sob configurações de armazenamento vulneráveis, solicitar esse arquivo pode resultar em execução remota de código.
Quando a CVE-2026-15748 foi descoberta pela primeira vez?
A Wordfence recebeu a submissão inicial de vulnerabilidade do pesquisador em 11 de julho de 2026 e validou o exploit em 14 de julho. A equipe do Forminator recebeu a divulgação em 14 de julho, reconheceu em 20 de julho e lançou o Forminator corrigido 1.56.2 em 31 de julho de 2026.
Qual é o impacto da CVE-2026-15748 nos sistemas?
A exploração bem-sucedida pode permitir que um atacante sem conta no site faça upload de código PHP executável. Se o servidor permitir a execução do diretório de upload afetado, o atacante pode ganhar execução remota de código e potencialmente tomar controle completo do site WordPress.
CVE-2026-15748 ainda pode me afetar em 2026?
Sim. Qualquer site que ainda execute o Forminator 1.56.1 ou uma versão anterior pode permanecer vulnerável se a configuração de formulário necessária estiver presente. A SecurityWeek estimou que mais de 300.000 instalações estavam potencialmente expostas quando a vulnerabilidade foi divulgada publicamente.
Como posso me proteger contra CVE-2026-15748?
Atualize o Forminator Forms para a versão 1.56.2 ou mais recente imediatamente. Os administradores também devem revisar diretórios de upload personalizados, inspecionar logs históricos do formulário e do servidor web, buscar arquivos executáveis inesperados e investigar atividades suspeitas que ocorreram antes do plugin ser corrigido.
