CVE-2020-25213 – RCE no plugin WordPress File Manager
O plugin WordPress File Manager (versões < 6.9) permite execução remota de código sem autenticação. Usuários maliciosos podem enviar arquivos PHP e controlar o servidor web. A vulnerabilidade tem CVSS 9.8 (crítica) e EPSS 97,3%, indicando alta probabilidade de exploração nos próximos 30 dias. A CISA já confirmou exploração ativa e exige correção imediata. O risco afeta todos os sites WordPress que utilizam o plugin vulnerável.
Dados confirmados por NVD, EPSS e inclusão no catálogo CISA KEV com exploração ativa, além de referências de PoC públicas.
O que aconteceu
Um atacante envia um arquivo PHP malicioso através da funcionalidade de upload do plugin, contornando a validação de tipo de arquivo. O código é executado no servidor, permitindo controle total. O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) indica ataque pela rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário. O EPSS de 97,3% reflete a disponibilidade de exploits públicos e a alta probabilidade de uso em curto prazo.
Por que isso importa
A execução de código arbitrário compromete confidencialidade, integridade e disponibilidade do site, possibilitando roubo de dados, defacement ou uso do servidor como pivô. A exploração pode impactar a reputação da organização e gerar perdas financeiras e legais.
Quem está em risco
Sites WordPress que utilizam o plugin File Manager versão inferior a 6.9, independentemente do setor ou região. Ambientes de produção, teste ou desenvolvimento que mantêm o plugin desatualizado estão expostos.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios exigidos: NONE; Interação do usuário: NONE. CWE-434 (Unrestricted Upload of File with Dangerous Type). Exploração via upload de arquivo PHP que é armazenado e executado pelo servidor web. Técnicas MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1105 (Ingress Tool Transfer), T1059.007 (Command and Scripting Interpreter: PHP). Referências de PoC: http://packetstormsecurity.com/files/160003/WordPress-File-Manager-6.8-Remote-Code-Execution.html, http://packetstormsecurity.com/files/171650/WordPress-File-Manager-6.9-Shell-Upload.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o plugin WordPress File Manager para a versão 6.9 ou superior imediatamente.
- 2
Se a atualização não for viável, remova o plugin ou desative a funcionalidade de upload de arquivos.
- 3
Implemente regras de WAF que bloqueiem uploads de arquivos com extensões .php, .phtml ou .phar para diretórios do plugin.
Sugestões de detecção
- ›
Analise logs de acesso web (e.g., Apache access_log) para requisições POST ao endpoint do plugin contendo "file=*.php" no corpo ou na query string.
- ›
Monitore logs de auditoria do WordPress ou do servidor de arquivos para criação de novos arquivos .php em wp-content/plugins/file-manager-pro/; alerte quando o usuário não for administrador.
Falsos positivos
Não há IOCs estruturados. Alertas de upload de .php podem gerar falsos positivos em casos de administradores legítimos realizando atualizações; correlacione com identidade do usuário e horário de manutenção.