CVE-2024-10924 no WordPress: quando um plugin de segurança permite entrar como administrador

Publicado em 2026-10-27 por frfrand

O caso real do Really Simple Security: como foi descoberto, quem estava exposto, como corrigir e revisar acessos.

O problema: instalar um plugin de segurança não garante estar protegido

Em novembro de 2024, foi descoberta uma falha crítica no Really Simple Security, antes chamado Really Simple SSL. É uma lição útil: até mesmo um complemento pensado para proteger um site pode introduzir um erro de autenticação. A vulnerabilidade CVE-2024-10924 poderia permitir que alguém sem fazer login acessasse como um usuário existente, incluindo um administrador, quando a função de autenticação de dois fatores afetada estava habilitada.

Quem descobriu e como foi comunicado?

István Márton, pesquisador da Wordfence, identificou o problema em 6 de novembro de 2024. A Wordfence iniciou a divulgação coordenada com o desenvolvedor. O fornecedor publicou patches para versões pagas em 12 de novembro e para a versão gratuita em 14 de novembro; colaborou com o WordPress.org para impulsionar atualizações de segurança. O comunicado original falava de mais de quatro milhões de sites com o plugin instalado na época: nem todos necessariamente vulneráveis, pois importam a versão e a configuração.

Como poderia ser explorado?

O defeito estava no tratamento de erros de uma função da API REST relacionada ao segundo fator. Em determinados casos, uma verificação falhada devolvia um objeto de erro, mas o fluxo que a chamava seguia em frente sem bloquear corretamente a autenticação. O risco era suplantar um usuário e obter uma sessão com seus privilégios. A falha não exige quebrar a criptografia do segundo fator: salta parte da lógica que deveria torná-la obrigatória.

Por que era tão grave?

Com acesso de administrador, um atacante pode alterar usuários, plugins, conteúdo e configurações. A partir daí, pode tentar extrair informações ou manter acesso persistente. O Wordfence classificou o caso como crítico, 9,8 no CVSS 3.1. Isso não significa que todas as instalações WordPress estivessem comprometidas; significa que as que atendiam às condições deveriam priorizar o patch.

Quais instalações estavam afetadas?

As versões 9.0.0 a 9.1.1.1 do Really Simple Security, incluindo variantes Free, Pro e Pro Multisite, com a autenticação de dois fatores afetada habilitada. A versão 9.1.2 introduziu a correção histórica. Hoje corresponde instalar a versão mais recente e mantida do plugin, não parar em uma revisão antiga.

Como revisar meu WordPress?

No painel, identifique a versão do plugin e o status de suas funções de autenticação. Verifique se o WordPress, plugins e temas têm atualizações aplicadas. Revise administradores desconhecidos, alterações recentes de configuração, sessões e logs de acesso, especialmente se o site esteve vulnerável. Antes de modificar o site, gere um backup e conserve evidências se suspeitar de uma invasão.

Como se soluciona?

Atualize o Really Simple Security para uma versão corrigida e mantida, verifique se o login funciona, revise sessões ativas e rotacione credenciais diante de sinais de comprometimento. Não basta desativar momentaneamente um WAF ou mudar o nome do caminho de acesso. Se o site tiver pedidos ou dados pessoais, trate a recuperação com prioridade.

Perguntas frequentes

Desativar o plugin resolve tudo? Pode remover uma via de exposição, mas não corrige o código nem desfaz um acesso não autorizado prévio.

Todos os plugins de segurança são inseguros? Não: este caso mostra por que também precisam de manutenção e auditorias.

Como evitar algo semelhante? Inventário de plugins, privilégios mínimos, backups, atualizações testadas e supervisão.

Fontes: Pesquisa da Wordfence · Ficha CVE e escopo.

Onde acompanhar alertas e solicitar suporte?

Na ArduMaker explicamos novas vulnerabilidades e compartilhamos orientações sobre revisão de versões, atualizações e medidas de contenção. Você pode consultar a página de CVE e suporte da ArduMaker. Se o seu sistema não usa WordPress, indique igualmente a tecnologia, versão e configuração ao descrever o caso para avaliar o que corresponde revisar. Um alerta publicado não significa que todos os servidores dessa tecnologia estejam afetados, nem que uma atualização pendente implique uma intrusão confirmada.

Atualização editorial: outubro de 2026. Verifique sempre o aviso oficial por possíveis mudanças de versões e mitigações.

Exemplo prático: revisar um WordPress com Really Simple Security

Situação: você administra uma academia com alunos registrados e o plugin Really Simple Security ativo. Descobriu que houve um bypass de autenticação relacionado à opção de dois fatores. A pergunta não é «tenho WordPress?», mas usei a versão e a função afetadas?

Desde o VPS, se você dispuser do WP-CLI e estiver na pasta correta do site:

wp plugin list --fields=name,version,status --format=table
wp user list --role=administrator --fields=ID,user_login,user_email

Antes: plugin antigo, 2FA vulnerável e contas de administrador sem supervisão. Depois: atualização para a versão mantida, validação do acesso com dois fatores, revisão de administradores inesperados e sessões ativas, e rotação de segredos se houver indícios de intrusão.

Exemplo de impacto realista: alguém que conseguisse entrar como administrador poderia instalar um plugin ou alterar o destinatário de notificações. Não significa que isso tenha ocorrido: verifique com logs e mudanças concretas. Se o site lidar com dados pessoais, avalie obrigações de resposta a incidentes.