Nome do plugin	Gerenciador de Fontes | Fontes Personalizadas
Tipo de vulnerabilidade	Injeção de SQL
Número CVE	CVE-2026-1800
Urgência	Alto
Data de publicação do CVE	2026-03-23
URL de origem	CVE-2026-1800

Urgente: Injeção SQL em “Gerenciador de Fontes | Fontes Personalizadas” (<= 1.2) — O que os proprietários de sites WordPress devem fazer agora

Publicado: 23 Mar, 2026
Gravidade: Alto — CVSS 9.3 (CVE-2026-1800)
Versões afetadas: versões do plugin <= 1.2
Privilégio necessário: Não autenticado (qualquer visitante)

Como uma equipe de segurança do WordPress que opera um Firewall de Aplicação Web (WAF) profissional e um serviço de resposta a incidentes, nós da WP‑Firewall estamos emitindo um aviso detalhado e prático para proprietários e administradores de sites. Uma vulnerabilidade de injeção SQL de alta severidade foi divulgada no plugin Gerenciador de Fontes | Fontes Personalizadas (versões até e incluindo 1.2). A vulnerabilidade pode ser acionada por solicitações não autenticadas via o fmcfIdSelectedFnt parâmetro e permite que atacantes interajam diretamente com o banco de dados.

Este post explica o que essa vulnerabilidade significa, como pode ser detectada, passos práticos para mitigar e remediar, o que fazer se você suspeitar de uma violação e como a WP‑Firewall protege seu site — incluindo um plano Básico sem custo que você pode ativar imediatamente.

---

Resumo executivo (o que você precisa saber agora)

• O plugin contém um vetor de injeção SQL não autenticado via o parâmetro HTTP fmcfIdSelectedFnt.
• Um atacante não autenticado pode injetar SQL em uma consulta que interage com o banco de dados do WordPress.
• O impacto inclui divulgação de dados, modificação de dados, comprometimento de contas de usuário e total controle do site, dependendo de outras configurações do site.
• Não há patch fornecido pelo fornecedor disponível no momento da publicação para versões <= 1.2. Mitigação imediata é necessária.
• Se você executa este plugin: remova-o, desative-o ou aplique patch virtual (regra WAF) até que um patch oficial esteja disponível.
• Usuários da WP‑Firewall podem ativar uma regra de mitigação imediatamente para bloquear tentativas de exploração enquanto você decide sobre a remediação.

---

O que é essa vulnerabilidade? Visão técnica

Essa vulnerabilidade é uma injeção SQL (SQLi) que pode ser explorada sem autenticação. A entrada vulnerável é um parâmetro chamado fmcfIdSelectedFnt que é processado pelo plugin e incorporado em uma declaração SQL sem validação de entrada adequada ou parametrização.

Por que isso é importante:

• A injeção SQL permite que atacantes manipulem o mecanismo de consulta do banco de dados. Dependendo do contexto da consulta, os atacantes podem ser capazes de ler linhas arbitrárias do banco de dados, modificar ou excluir dados, criar contas administrativas ou executar ações que levam ao comprometimento total do site.
• Não autenticado significa que o atacante não precisa ser um usuário do WordPress logado — ele pode ser um novo visitante da internet.
• O score CVSS descrito de 9.3 reflete a criticidade da SQLi não autenticada em aplicativos web.

Notas técnicas (nível alto):

• A superfície de ataque é um parâmetro HTTP passado para um endpoint de plugin (GET ou POST).
• O plugin falha em sanitizar ou usar consultas parametrizadas para o valor fornecido.
• Uma entrada maliciosa pode alterar a lógica da consulta SQL pretendida.

Evitamos intencionalmente compartilhar cargas de exploração ou strings de consulta neste aviso porque elas podem ser usadas para automação maliciosa. O foco abaixo é na detecção, mitigação e manuseio seguro.

---

Como um atacante pode explorá-lo — cenários de ataque realistas

Compreender os cenários de ataque ajuda a priorizar a resposta:

1. Roubo de dados em grande escala
   • Os atacantes podem ler o conteúdo de Usuários wp, wp_usermeta, ou tabelas personalizadas dependendo do contexto da consulta.
   • Hashes de usuários roubados podem ser quebrados offline ou usados para pivotar para outros sistemas onde as credenciais foram reutilizadas.
2. Escalação de privilégios / criação de conta
   • Em muitos casos de SQLi, os atacantes podem injetar dados para criar um novo registro de administrador em Usuários wp, e então definir as entradas meta necessárias em wp_usermeta. Isso leva à tomada de controle direta do site.
3. Modificação do site / desfiguração / persistência
   • SQLi pode ser usado para modificar opções, inserir postagens maliciosas ou alterar configurações de plugin/tema que, por sua vez, podem ser usadas para instalar backdoors.
4. Exploração em massa
   • Como isso é não autenticado e um plugin comum, os atacantes frequentemente constroem scanners automatizados que testam muitos sites WordPress e tentam explorá-los em massa.

Dado o acima, trate qualquer site ativo com o plugin como alta prioridade para mitigação imediata.

---

Detecção — o que procurar em logs e comportamento

Se você opera uma pilha de hospedagem ou um produto de segurança, fique atento aos seguintes padrões. Estas são sugestões de detecção, não assinaturas de exploração.

• Solicitações inesperadas para endpoints de plugin onde fmcfIdSelectedFnt está presente:
  • Exemplo de padrão de log: solicitações com parâmetro fmcfIdSelectedFnt contendo caracteres incomuns (espaços, aspas, marcadores de comentário, palavras reservadas do SQL).
• Respostas 400/500 repetidas para a mesma URL do mesmo IP remoto ou de múltiplos IPs de baixa confiança (comportamento de varredura).
• Solicitações POST/GET rápidas com valores diferentes para fmcfIdSelectedFnt (tentativas de sondagem).
• Erros de banco de dados em seus logs PHP/WordPress referenciando erros de sintaxe SQL após os endpoints de plugin serem acessados.
• Usuários administrativos inesperados, novas postagens ou alterações de opções logo após solicitações suspeitas.
• Conexões de saída ou tarefas agendadas que você não criou.

Amostras de impressões digitais de log de detecção (sanitizadas, para correspondência de padrões):

[access-log] 192.0.2.123 - - [23/Mar/2026:10:04:12 +0000] "GET /wp-admin/admin-ajax.php?action=fmcf_action&fmcfIdSelectedFnt=... HTTP/1.1" 200 512 "-" "Mozilla/5.0"

Defina alertas de monitoramento para:

• Padrões de erro que incluem “sintaxe SQL” ou “mysql_fetch” após os endpoints de plugin serem acessados.
• Eventos de criação de novos usuários administrativos em Usuários wp por qualquer ator não administrativo ou em horários estranhos.

---

Passos imediatos de mitigação (o que fazer nas próximas 1–2 horas)

1. Identificar os locais afetados
   • Use a lista de plugins do WP admin ou verificações do sistema de arquivos para confirmar que o plugin está instalado e a versão ≤ 1.2.
   • Se você tiver muitos sites, execute um inventário automatizado para localizar instâncias do plugin.
2. Se puder, coloque o site offline brevemente ou coloque-o em modo de manutenção.
   • Isso é opcional, mas recomendado para sites de alto tráfego ou alto risco enquanto você age.
3. Se uma atualização estiver disponível do autor do plugin, aplique-a. NOTA: No momento da publicação, nenhuma versão oficial corrigida está disponível para as versões vulneráveis especificadas — não assuma que um patch existe. Verifique o changelog do plugin e as comunicações do fornecedor.
4. Se o patch não estiver disponível, desinstale ou desative o plugin.
   • Desative a partir do admin do WP ou remova a pasta do plugin via SFTP.
   • Se o plugin for necessário por razões comerciais e não puder ser desativado, aplique o patch virtual WAF (bloqueie / saneie o parâmetro vulnerável) — instruções abaixo.
5. Aplique uma regra WAF ou patch virtual para parar tentativas de exploração (recomendado se você não puder remover o plugin).
   • Bloqueie quaisquer solicitações externas que contenham caracteres meta SQL suspeitos no fmcfIdSelectedFnt parâmetro.
   • Bloqueie solicitações não autenticadas para os endpoints específicos do plugin se esses endpoints não deveriam ser públicos de qualquer maneira.
6. Rode as credenciais e revise o acesso se suspeitar de comprometimento:
   • Redefina senhas para administradores do WordPress, FTP/SFTP, cPanel e senhas de usuários do banco de dados se uma intrusão for suspeitada.
7. Revise seu site em busca de indicadores de comprometimento (veja a seção abaixo).

---

Mitigação WAF recomendada (patch virtual) — exemplos e orientações

Se você não puder remover o plugin imediatamente, o patch virtual via WAF é a maneira mais rápida de bloquear o tráfego de exploração. Abaixo estão sugestões seguras e não específicas de exploração que você pode implementar na maioria das interfaces WAF ou painéis de controle de hospedagem. Estas são regras conceituais — a sintaxe exata depende do seu WAF.

1. Bloqueie conteúdo de parâmetro suspeito
   • Negar solicitações onde fmcfIdSelectedFnt contém caracteres comumente usados para injeção SQL (aspas simples, aspas duplas, ponto e vírgula, tokens de comentário, palavras-chave SQL) e a solicitação não está autenticada.

   Pseudocódigo / lógica:

   • SE a solicitação contém parâmetro fmcfIdSelectedFnt
   • E o valor do parâmetro corresponde ao padrão regex: [\x27\x22;#/*\b(UNIÃO|SELECIONAR|INSERIR|ATUALIZAR|DELETAR|ELIMINAR)\b] (sem distinção entre maiúsculas e minúsculas)
   • ENTÃO bloqueie a solicitação (retorne 403)

   Observação: Permita valores numéricos legítimos ou alfanuméricos seguros. Ajuste o padrão permitido para o uso do seu plugin (se o plugin normalmente passa um único ID inteiro, permita apenas dígitos).

2. Restringir o acesso aos pontos finais do plugin
   • Se os endpoints vulneráveis forem destinados apenas ao uso de administradores autenticados, restrinja-os de uma das seguintes maneiras:
     • Permitindo acesso apenas de sessões de administradores autenticados (verifique os cookies).
     • Limitando aos intervalos de IP permitidos (IPs internos de administradores).
     • Bloqueando solicitações GET ou POST de clientes anônimos para esses endpoints.
3. Limitação de taxa e verificações de comportamento
   • Limite a taxa de acesso aos endpoints do plugin para desacelerar a varredura e tentativas de exploração automatizadas.
   • Bloqueie IPs com varreduras falhadas repetidas e padrões de solicitação agressivos.
4. Bloqueie solicitações com strings de erro de banco de dados na resposta
   • Se você detectar que um endpoint frequentemente retorna texto de erro SQL, use seu WAF para interceptar e retornar uma página de erro genérica, evitando vazamentos.

Importante: Essas regras são mitigações temporárias e devem ser combinadas com a remoção ou atualização do plugin. O patch virtual reduz o risco, mas não corrige o problema subjacente do código.

---

Como verificar se houve comprometimento — indicadores, arquivos e consultas

Se seu site recebeu tráfego suspeito antes ou se você não tem certeza sobre um incidente, realize uma investigação focada:

1. Verifique os logs de acesso e erro
   • Procurar fmcfIdSelectedFnt solicitações de IPs desconhecidos.
   • Pesquise logs em busca de mensagens de erro SQL e atividade POST suspeita.
2. Verificar Usuários wp e wp_usermeta
   • Procure novos usuários com função de administrador que você não reconhece.
   • Inspecionar último_login (se armazenado), usuário_registrado carimbos de data/hora.
3. Escaneie arquivos modificados
   • Use um verificador de integridade de arquivos ou Git diff (se seu site estiver sob controle de versão).
   • Procure arquivos PHP recentemente modificados em conteúdo wp, wp-includes, e diretórios raiz.
4. Pesquise no banco de dados por conteúdo suspeito.
   • Verificar opções_wp por opções de autoload inesperadas ou scripts injetados em valores de opção como siteurl ou home.
   • Inspecione postagens em busca de iframes ocultos, avaliar(), strings base64 ou JavaScript ofuscado.
5. Tarefas agendadas e cron
   • Liste ganchos cron ativos do WordPress (wp_cron) e eventos agendados para tarefas desconhecidas.
6. Conexões de saída
   • Verifique conexões de rede externas incomuns do servidor, que podem sinalizar exfiltração de dados ou callbacks para hosts C2.

Se você encontrar indicadores de comprometimento, isole o site imediatamente (tire-o do ar) e prossiga com um plano completo de contenção e recuperação.

---

Lista de verificação de resposta a incidentes (passo a passo)

1. Isolar
   • Coloque o(s) site(s) impactado(s) em modo de manutenção.
   • Revogue o acesso do atacante desabilitando rotas de rede, se necessário.
2. Preserve as evidências.
   • Faça backup de logs, banco de dados e instantâneo do sistema de arquivos para análise forense.
   • Não sobrescreva evidências.
3. Conter
   • Desative ou remova o plugin vulnerável.
   • Aplique regras WAF para bloquear o padrão de exploração.
4. Erradicar
   • Remova shells web, usuários administrativos não autorizados e arquivos maliciosos.
   • Restaure arquivos limpos de um backup conhecido como bom, se necessário.
5. Recuperar
   • Atualize ou reinstale plugins/temas/núcleo.
   • Reemita credenciais e gire chaves.
   • Fortaleça o site (veja a lista de verificação de endurecimento abaixo).
6. Revisar e aprender
   • Realize uma análise pós-morte para identificar como o atacante teve sucesso e as etapas para melhorar as defesas.
   • Aplique medidas de longo prazo: monitoramento contínuo, backups regulares e serviço de patching virtual.

---

Lista de verificação de endurecimento (antes e depois da remediação)

• Mantenha o núcleo, os temas e os plugins do WordPress atualizados.
• Limite o uso de plugins apenas aos essenciais, que são mantidos ativamente.
• Imponha senhas fortes e autenticação multifatorial (MFA) para contas de administrador.
• Use o menor privilégio para usuários do DB — evite usar um usuário do DB com direitos de superusuário.
• Restringir wp-admin e wp-login.php por IP ou adicione autenticação adicional.
• Implemente monitoramento de integridade de arquivos e verificações regulares de malware.
• Mantenha backups diários fora do site e teste restaurações periodicamente.
• Use um WAF profissional para fornecer patching virtual e filtragem de tráfego.
• Monitore logs e alertas continuamente e inscreva-se em feeds de inteligência de segurança confiáveis.

---

Como o WP-Firewall ajuda — proteção imediata e contínua

No WP-Firewall, operamos uma abordagem de defesa em múltiplas camadas que combina detecção proativa, patching virtual e resposta a incidentes. Aqui está como nosso produto e serviços mitigam diretamente esse tipo de vulnerabilidade:

1. Regras de WAF gerenciadas e patching virtual
   • Implantamos regras que bloqueiam tentativas de exploração contra entradas vulneráveis conhecidas (como fmcfIdSelectedFnt) sem esperar por patches do fornecedor.
   • Patches virtuais têm baixo risco e são testados para evitar falsos positivos em tráfego legítimo.
2. Bloqueio de ataques em tempo real
   • Nosso WAF bloqueia scanners automatizados e kits de ferramentas de exploração que sondam tentativas de SQLi não autenticadas.
   • Também limitamos a taxa e identificamos padrões de varredura distribuída para prevenir exploração em massa.
3. Escaneamento e alerta automatizados
   • Sites em nossa plataforma recebem varreduras regulares de vulnerabilidades e notificações se um plugin vulnerável for detectado.
   • Monitoramos tentativas de exploração e fornecemos orientações imediatas de mitigação.
4. Suporte forense e de remediação
   • Se uma violação for suspeita, o suporte do WP‑Firewall pode ajudar com investigação, contenção e planos de recuperação.
   • Fornecemos orientações sobre rotação de credenciais, limpeza e restauração de backups.
5. Higiene contínua e relatórios
   • Clientes Pro recebem relatórios de segurança mensais e tratamento priorizado de vulnerabilidades.
   • Nosso plano Básico inclui proteções essenciais que bloqueiam ataques comuns e riscos do OWASP Top 10.

Não podemos subestimar a importância do patching virtual para vulnerabilidades onde um patch oficial está indisponível ou atrasado. Isso compra tempo crítico e reduz a exposição enquanto você planeja uma remediação permanente.

---

Indicadores de Comprometimento (IoCs) — exemplos para procurar

Abaixo estão os tipos de IoCs a serem pesquisados. Estes são genéricos, não específicos de exploração, destinados a ajudar as equipes de detecção a localizar atividades suspeitas.

• Padrões de requisição HTTP:
  • Solicitações incluindo o nome do parâmetro: fmcfIdSelectedFnt
  • Solicitações com valores de parâmetro de alta entropia ou caracteres incomuns em fmcfIdSelectedFnt
• Logs do servidor:
  • Mensagens de erro SQL próximas a arquivos de plugin, por exemplo, erros que referenciam caminhos de arquivos de plugin.
  • Frequência elevada de respostas 4xx ou 5xx para endpoints de plugin.
• Artefatos do WordPress:
  • Novos usuários administradores com nomes de usuário suspeitos.
  • Modificações inesperadas em opções_wp (siteurl/home), entradas active_plugins ou arquivos de tema.
• Sistema de arquivos:
  • Arquivos PHP com PHP ofuscado (base64_decode + avaliar).
  • Novos arquivos em wp-content/uploads com extensão .php.

Quando você detectar qualquer um dos itens acima, trate-o como um incidente de alta prioridade e siga a lista de verificação de resposta a incidentes.

---

Orientações de comunicação para proprietários de sites e administradores

Se você gerencia vários sites ou fornece hospedagem, comunique-se claramente:

• Informe as partes interessadas que o plugin possui uma vulnerabilidade não autenticada de alta severidade.
• Recomende ação imediata: remova/desative o plugin ou aplique patches virtuais WAF.
• Forneça cronogramas: declare que um patch do fornecedor pode não estar disponível ainda e que a aplicação de patches virtuais é uma medida provisória segura.
• Forneça etapas de remediação e ofereça assistência remota, se necessário.

---

Perguntas frequentes

Q: Devo excluir o plugin ou apenas desativá-lo?
A: Se você realmente precisar da funcionalidade do plugin e não puder removê-lo temporariamente, desative-o apenas se a desativação interromper a funcionalidade crítica; caso contrário, remova até que um patch seguro exista. A aplicação de patches virtuais com um WAF é uma mitigação aceitável a curto prazo.

Q: E se meu site foi corrigido pelo autor do plugin após este aviso?
A: Se uma atualização oficial estiver disponível, teste em um ambiente de teste e depois atualize em produção. Após a atualização, escaneie o site em busca de sinais de comprometimento e verifique a integridade.

Q: Os backups do plugin são seguros para restaurar se foram feitos enquanto o plugin estava ativo?
A: Tenha cautela — backups feitos enquanto o plugin estava presente podem conter modificações maliciosas se um comprometimento ocorreu. Verifique os backups e escaneie-os antes de restaurar.

---

Lista de verificação: Ações imediatas (resumo de uma página)

• Faça um inventário dos sites e localize as instâncias do plugin (versões ≤ 1.2).
• Se o plugin estiver presente: desative ou remova imediatamente, OU aplique o patch virtual WAF.
• Aplique a regra WAF bloqueando solicitações suspeitas. fmcfIdSelectedFnt valores.
• Inspecione os logs em busca de solicitações suspeitas e erros SQL.
• Escaneie em busca de novos usuários administrativos, arquivos alterados e tarefas agendadas.
• Altere credenciais (admin, FTP, DB) se atividade suspeita for encontrada.
• Faça backup das evidências e inicie a resposta a incidentes se uma violação for suspeitada.
• Inscreva-se em avisos de fornecedores para atualizações e realize a aplicação de patches oficiais quando disponíveis.

---

Proteja seu site agora — Experimente o plano gratuito do WP‑Firewall

Se você deseja proteção básica imediata enquanto avalia e remedia, considere nosso plano Básico (Gratuito) no WP‑Firewall. Ele fornece proteção essencial e gerenciada para bloquear padrões de ataque conhecidos e reduzir a exposição a janelas de exploração de zero-day.

Destaques do plano (Básico — Gratuito):

• Firewall gerenciado com um WAF ajustado que bloqueia entradas maliciosas e impressões digitais de ataque.
• Largura de banda ilimitada enquanto protege seu site contra scanners automatizados e tentativas de exploração.
• Scanner de malware para encontrar arquivos e alterações suspeitas.
• Mitigações para os riscos do OWASP Top 10 para reduzir a probabilidade de ataques bem-sucedidos.

Para proteção direta e mitigação rápida de ameaças como a injeção SQL não autenticada no Gerenciador de Fontes | Fontes Personalizadas, você pode se inscrever no plano gratuito aqui:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Se você precisar de limpeza automatizada mais rápida e patching virtual, nossos planos pagos incluem remoção automática de malware, patching virtual, relatórios de segurança mensais e suporte dedicado à remediação.

---

Notas finais e divulgação responsável

Este aviso foi escrito para ajudar proprietários de sites e administradores a proteger seus sites WordPress. Evitamos compartilhar código de exploração para prevenir reutilização maliciosa — o objetivo é mitigação rápida e segura. Se você opera sites afetados, aja imediatamente: remova ou desative o plugin, aplique proteções WAF e investigue os logs para qualquer exploração passada.

Se você precisar de assistência, o WP‑Firewall fornece remediação guiada, resposta a incidentes e patching virtual contínuo para reduzir a exposição até que uma correção permanente esteja disponível. Também fornecemos proteção Básica gratuita que bloqueia tentativas comuns de exploração — um primeiro passo prático para qualquer proprietário de site.

Mantenha-se vigilante, mantenha o software atualizado e fortaleça suas implantações WordPress. Se você tiver dúvidas ou precisar de ajuda para aplicar os passos acima, entre em contato com nossa equipe de suporte através do seu console WP‑Firewall.

---

Referências (para administradores e equipes técnicas):
– CVE: CVE-2026-1800 (identificador de aviso público; verifique o banco de dados CVE oficial para atualizações)
– Melhores práticas gerais de endurecimento contra injeção SQL e diretrizes do OWASP

(Fim do aviso)