Plugin Forminator Tem Falha Crítica: 600 Mil Sites WordPress em Risco
Plugin Forminator Tem Falha Crítica: 600 Mil Sites WordPress em Risco
Se o formulário de contato ou orçamento do seu site em WordPress foi feito com o plugin Forminator, vale checar a versão instalada agora. Uma falha crítica identificada como CVE-2026-15748, com nota 9,8 de 10 na escala de gravidade, permite que um invasor envie um arquivo malicioso pro servidor sem precisar de login — e o Forminator está presente em mais de 600 mil sites WordPress ativos. A correção já existe; o risco real está em quem ainda não atualizou.
O que é essa vulnerabilidade, em termos simples
O Forminator é um plugin de formulários pra WordPress — usado pra criar formulário de contato, pesquisa, orçamento, inscrição em newsletter, entre outros. A falha está na função que processa upload de arquivo dentro de um formulário (por exemplo, quando o formulário do site pede pra o visitante anexar um currículo ou um comprovante). O problema é que a validação do tipo de arquivo enviado não é rigorosa o suficiente, o que permite que alguém envie um arquivo PHP disfarçado — e, sob certas condições, o servidor executa esse arquivo como se fosse código legítimo do próprio site. Isso é o que se chama de execução remota de código, conforme detalhado pela Wordfence: na prática, o invasor pode assumir controle do servidor sem nunca ter tido uma senha de acesso.
O risco aumenta especificamente quando o administrador do site configurou um diretório personalizado pra armazenar os arquivos enviados pelos formulários, em vez de usar o padrão do plugin — nesse cenário, o arquivo malicioso pode ficar acessível diretamente, sem a proteção que normalmente impediria a execução.
Como saber se o seu site usa esse plugin
Não é preciso conhecimento técnico avançado pra essa checagem:
- Entre no painel administrativo do WordPress (geralmente em
seusite.com.br/wp-admin). - No menu lateral, clique em Plugins.
- Procure na lista por “Forminator” ou “Forminator Forms”.
- Se aparecer, confira o número da versão logo abaixo do nome do plugin.
- Se não aparecer nada, o site não usa esse plugin específico — mas vale considerar checar se outro plugin de formulário está instalado e atualizado, pela mesma lógica.
Se você não tem acesso direto ao painel administrativo (por exemplo, se o site foi feito por terceiro e você só administra o conteúdo), essa é uma pergunta rápida e objetiva pra mandar pra quem cuida da parte técnica: “o site usa Forminator, e se sim, qual a versão instalada”.
O que fazer se o Forminator estiver instalado
| Situação encontrada | Ação recomendada |
|---|---|
| Forminator instalado, versão desatualizada há meses | Atualizar imediatamente pra versão mais recente disponível no repositório oficial |
| Forminator instalado, atualização automática já ativada | Confirmar manualmente que a atualização realmente rodou — não presumir |
| Diretório de upload personalizado configurado | Revisar essa configuração com prioridade mais alta, é o cenário de maior risco |
| Site sem backup recente | Fazer backup completo antes de qualquer atualização, por precaução padrão |
| Nenhum plugin de formulário identificado | Nenhuma ação específica pra essa falha, mas vale o mesmo hábito de checagem periódica |
Depois de atualizar, uma checagem adicional que vale a pena: revisar se existe algum arquivo estranho na pasta de uploads do site, especialmente arquivos com extensão .php dentro de pastas que deveriam conter só imagem ou documento. Isso não é diagnóstico definitivo de invasão, mas é um sinal de alerta que justifica chamar ajuda técnica se aparecer, especialmente se o arquivo tiver nome estranho ou data de modificação recente que não bate com nenhuma atualização legítima que você mesmo fez.
Por que isso não é um caso isolado
Dias antes da divulgação dessa falha no Forminator, outra vulnerabilidade crítica de mesma gravidade (nota 9,8) foi identificada no plugin User Profile Builder, presente em mais de 40 mil instalações ativas, permitindo login como administrador sem autenticação. Não é coincidência isolada — é o padrão normal do ecossistema WordPress: como é a plataforma de CMS mais usada do mundo, plugins populares são alvo constante de pesquisa de segurança, tanto de pesquisadores que reportam de forma responsável (como o programa de recompensas da Wordfence, que identificou os dois casos) quanto de invasores tentando explorar antes que o site atualize. Os dois episódios juntos, na mesma semana, mostram que segurança de WordPress não é um projeto que se termina uma vez e esquece — é manutenção contínua, do mesmo jeito que trocar óleo do carro periodicamente.
Isso não é motivo pra abandonar o WordPress — é motivo pra tratar atualização de plugin como rotina, não como tarefa esporádica. Um site parado há meses sem revisar plugin não é “mais estável” por não mexer em nada; é, na prática, mais exposto, porque toda vulnerabilidade nova descoberta afeta igualmente a versão desatualizada que ninguém tocou. O mesmo raciocínio vale pro próprio núcleo do WordPress: a versão 7.0.3, lançada em 6 de agosto de 2026, também é uma atualização de segurança que merece checagem separada, independente do plugin de formulário.
O que fazer essa semana, mesmo sem confirmação de risco
Pequeno negócio no Brasil que usa WordPress raramente tem alguém monitorando segurança de plugin em tempo real — geralmente o site foi entregue pronto por uma agência ou freelancer, e depois disso ninguém mexe em nada até algo dar errado visivelmente. Essa é exatamente a lacuna que vulnerabilidade como essa explora: não é preciso o site ser grande ou ter tráfego relevante pra virar alvo, porque ataques desse tipo costumam ser automatizados — um script varre a internet inteira procurando sites com a versão vulnerável do plugin, sem se importar se é uma loja pequena ou uma multinacional.
Uma rotina simples resolve boa parte do problema antes que ele apareça: reservar 10 minutos por mês (pode ser sempre no mesmo dia, tipo todo início de mês) só pra entrar no painel do WordPress e checar se existe algum aviso de atualização pendente, tanto do núcleo quanto de plugins e temas. Isso não substitui uma auditoria de segurança completa, mas fecha a porta de entrada mais comum, que é justamente a vulnerabilidade conhecida e não corrigida — a maioria dos ataques bem-sucedidos em WordPress não exploram falha nova e desconhecida, exploram falha já pública que ninguém corrigiu a tempo.
Checklist rápido pra rodar hoje:
- Confirmar se o Forminator está instalado e, se sim, qual a versão
- Atualizar pra versão mais recente se houver atualização pendente
- Fazer backup do site antes de qualquer atualização, mesmo que pareça rotina simples
- Revisar se existe diretório de upload personalizado configurado
- Repetir essa checagem básica (não só desse plugin, de todos) uma vez por mês, marcado no calendário
Se o seu site já teve algum comportamento estranho
Redirecionamento inesperado pra outro site, lentidão súbita sem explicação aparente, ou o Google sinalizando o site como inseguro nos resultados de busca são sinais de que pode já ter havido alguma exploração — não necessariamente dessa falha específica, mas de alguma vulnerabilidade não corrigida. Nesses casos, atualizar o plugin resolve o problema de origem, mas não limpa uma possível invasão que já aconteceu; vale considerar rodar uma verificação de segurança dedicada, ou pedir apoio de quem cuida da manutenção técnica do site pra descartar comprometimento anterior.
Perguntas Frequentes
Como sei se meu site usa o plugin Forminator?
Entre no painel administrativo do WordPress, clique em Plugins no menu lateral e procure por “Forminator” na lista. Se aparecer, o número da versão instalada fica logo abaixo do nome — compare com a versão mais recente disponível no repositório oficial pra saber se está desatualizado.
Preciso ter conhecimento técnico pra atualizar o plugin?
Não, o processo básico é simples: dentro da tela de Plugins, se existir uma atualização disponível, aparece um aviso e um botão de “Atualizar agora” ao lado do Forminator. O recomendável é fazer um backup do site antes, por precaução — isso sim pode exigir apoio técnico se você nunca fez esse tipo de backup antes.
Meu site já foi invadido só por ter o Forminator desatualizado instalado?
Não necessariamente. Ter a versão vulnerável instalada é uma condição de risco, não uma confirmação de invasão. O risco vira problema real quando alguém efetivamente explora a falha, o que depende de outros fatores, como o site já ter sido alvo de varredura automatizada. Atualizar reduz o risco daqui pra frente; não confirma nem descarta se algo já aconteceu antes.
Meu diretório de upload de arquivo é “personalizado” — como eu confirmo isso?
Dentro das configurações do Forminator, existe uma opção de definir onde os arquivos enviados pelos formulários são armazenados. Se essa opção nunca foi mexida, o site provavelmente usa o diretório padrão do plugin. Se alguém configurou isso manualmente no passado (comum em sites feitos por agência ou freelancer), vale confirmar diretamente com quem fez essa configuração original.
Meu site tem outro plugin de formulário (Contact Form 7, WPForms) — corro o mesmo risco?
Essa vulnerabilidade específica (CVE-2026-15748) é exclusiva do Forminator. Mas o princípio geral vale pra qualquer plugin de formulário: manter a versão sempre atualizada é a defesa mais eficaz contra falhas desse tipo, porque novas vulnerabilidades continuam sendo descobertas em praticamente todos os plugins populares, um de cada vez.
