Pesquisador encontra RCE no WordPress com GPT-5.6 por $25

Resumo rápido

• Um pesquisador da Searchlight Cyber, Adam Kues, usou o modelo GPT-5.6 Sol Ultra para encontrar e encadear duas falhas no core do WordPress (batizadas de “wp2shell”), chegando a uma execução remota de código pré-autenticada em cerca de 10 horas de trabalho.
• O custo em créditos de API ficou perto de $25, mas isso não conta o tempo do pesquisador revisando e validando o que a IA produziu, que levou bem mais que isso.
• O caso, embora real e confirmado por veículos de segurança e pela própria WordPress, é um exemplo pontual dentro de uma tendência maior: empresas de segurança já usam pipelines de IA para varrer plugins do WordPress em massa em busca de vulnerabilidades.

Você já deve ter visto esse título circulando: um pesquisador encontrou uma falha crítica no WordPress usando inteligência artificial e gastou apenas $25 no processo. Diferente de boa parte do conteúdo sensacionalista sobre IA e segurança, esse caso específico é real e bem documentado. Ele foi relatado pela própria Searchlight Cyber, a empresa de segurança onde o pesquisador trabalha, e depois confirmado de forma independente pelo The Hacker News, além de uma verificação sobre a tendência mais ampla de pesquisa de vulnerabilidades assistida por IA pelo Help Net Security.

Neste post você entende o que aconteceu de fato, por que isso importa se você administra ou desenvolve para WordPress, e como esse caso se encaixa numa tendência maior e verificável de uso de IA para encontrar vulnerabilidades de software.

O que aconteceu, de fato

O pesquisador Adam Kues, da Searchlight Cyber, usou o modelo GPT-5.6 Sol Ultra da OpenAI para auditar uma cópia local do código-fonte do WordPress. Em vez de pedir para a IA gerar código, ele orientou o modelo a procurar padrões de vulnerabilidade, algo próximo do que ferramentas de análise estática tradicionais já fazem, mas com um raciocínio mais flexível.

O resultado foi uma cadeia de exploração que a Searchlight Cyber apelidou de “wp2shell”: uma combinação de confusão na rota da API em lote do WordPress (/wp-json/batch/v1) com uma injeção de SQL no core, permitindo que um atacante sem nenhuma credencial execute código remotamente em uma instalação padrão do WordPress rodando MySQL. As falhas receberam os identificadores CVE-2026-60137 e CVE-2026-63030.

Segundo a Searchlight Cyber, o processo levou cerca de 10 horas e consumiu perto de $25 da assinatura semanal de $200 que o pesquisador já pagava pela ferramenta de IA. Vale o contexto: esse valor cobre só o uso do modelo naquela sessão. Ele próprio reconheceu que passou o dia seguinte inteiro organizando e validando manualmente o que a IA tinha levantado, um trabalho que não entra na conta dos $25.

O caso ganhou repercussão em veículos de segurança da informação, com sinais de provas de conceito circulando e alertas para exploração em ambiente real pouco depois da divulgação.

Por que o valor de $500.000 aparece nessa história

O número que chama atenção nas manchetes, o de que exploits de RCE no WordPress chegam a valer $500.000 no mercado de brokers de exploits, vem de um relatório da Trend Micro sobre precificação nesse mercado paralelo, onde intermediários compram falhas críticas para revender. É uma estimativa de valor de mercado, não o preço que a Searchlight Cyber recebeu ou pretendia receber: a empresa divulgou a falha de forma responsável, sem vendê-la.

A comparação entre $25 gastos e $500.000 de valor potencial é o gancho da notícia, mas vale entender que são duas métricas diferentes: custo de descoberta de um lado, valor especulativo de mercado do outro.

Isso é um caso isolado ou uma tendência?

É as duas coisas. O caso da Searchlight Cyber ganhou destaque por ser uma falha crítica no core do WordPress, que afeta a base de instalação, não um plugin específico. Mas ele não é único.

Um exemplo relatado pelo Help Net Security mostra pesquisadores das empresas TrendAI e CHT Security construindo, em três dias, um pipeline que combina análise estática guiada por IA, provisionamento automático em containers Docker e verificação dinâmica via navegador. Rodando por 72 horas, esse pipeline encontrou mais de 300 vulnerabilidades críticas em plugins do WordPress, com um custo médio estimado em cerca de $20 por vulnerabilidade confirmada manualmente.

O ecossistema de plugins do WordPress é especialmente propício a esse tipo de achado: são mais de um milhão de plugins, muitos mantidos por voluntários com pouco tempo para revisão de segurança. Isso ajuda a explicar por que o WordPress aparece com frequência nesse tipo de pesquisa, mas o princípio vale para qualquer software com base de código grande e histórico de manutenção irregular.

O que isso muda na prática

Se você administra ou desenvolve para WordPress, dois pontos merecem atenção:

Atualize sem demora. A janela entre a divulgação de uma vulnerabilidade e sua exploração em massa está encolhendo, principalmente quando ferramentas de IA aceleram tanto a descoberta de falhas por pesquisadores quanto a criação de exploits por atacantes. Manter o core, plugins e temas atualizados automaticamente, quando possível, deixou de ser só uma boa prática e virou proteção contra uma janela de exposição cada vez mais curta.

Considere IA como parte da revisão de código, não só do ataque. O mesmo tipo de análise que a Searchlight Cyber usou para encontrar falhas pode ser incorporado ao seu próprio processo de revisão, como uma camada extra além de ferramentas de análise estática tradicionais. Se você já usa assistentes de IA no dia a dia de desenvolvimento, vale revisar como aplicar esse mesmo raciocínio à busca por vulnerabilidades, e não só à geração de código novo.

Para quem quer entender os fundamentos de segurança antes de ir direto para essas ferramentas, vale conferir o nosso guia completo de cibersegurança e computação forense para iniciantes. E se o seu time já trabalha com dados sensíveis e quer entender como equilibrar uso de IA com responsabilidade, o post sobre como implementar governança de IA e segurança de dados é um bom próximo passo.

O que isso não significa

Vale desfazer alguns exageros que costumam aparecer em torno desse tipo de notícia:

Não significa que qualquer pessoa com acesso a um chatbot vai conseguir replicar esse resultado. O pesquisador da Searchlight Cyber tem experiência prévia em pesquisa de vulnerabilidades e passou tempo considerável validando manualmente o que a IA sugeriu. A IA acelerou o processo, não o substituiu.

Não significa que o WordPress core está inerentemente inseguro. Falhas críticas em software amplamente usado aparecem periodicamente, com ou sem IA envolvida; o que muda é a velocidade com que elas podem ser encontradas e, potencialmente, exploradas.

Se você quer se aprofundar em como usar assistentes de IA no seu fluxo de trabalho como desenvolvedor, de forma mais ampla que só segurança, o nosso post sobre como usar IA (ChatGPT e Copilot) para programar e aprender mais rápido cobre o tema com mais profundidade.

Perguntas frequentes

O caso do RCE encontrado com IA por $25 é real? Sim. Foi documentado pela própria Searchlight Cyber, a empresa de segurança onde o pesquisador trabalha, e confirmado de forma independente por veículos como Dark Reading, The Hacker News e Infosecurity Magazine, além de verificação de exploração ativa pela watchTowr.

Qual modelo de IA foi usado exatamente? O GPT-5.6 Sol Ultra, da OpenAI. É importante notar que esse nome específico de modelo é recente e pode não ser familiar fora do contexto desse caso.

O WordPress já corrigiu essa falha? As falhas foram catalogadas como CVE-2026-60137 e CVE-2026-63030 e divulgadas de forma responsável pela Searchlight Cyber. Se você administra um site WordPress, a recomendação padrão vale: mantenha o core e os plugins sempre atualizados para a versão mais recente.

Isso significa que qualquer pessoa pode achar falhas críticas gastando $25? Não da forma simplificada como a manchete sugere. O valor cobre só o uso do modelo de IA; a experiência do pesquisador e o tempo gasto validando manualmente os resultados foram essenciais e não entram nessa conta.

Existe uma tendência maior por trás desse caso específico? Sim. Pipelines de IA para encontrar vulnerabilidades em plugins e softwares open source já são usados por empresas de segurança em escala, com casos documentados de centenas de falhas encontradas em poucos dias a um custo baixo por vulnerabilidade.

No fim das contas, o caso da Searchlight Cyber é um bom retrato de para onde a pesquisa de segurança está indo: IA como ferramenta de aceleração, não de substituição do julgamento humano. Para quem mantém sites WordPress, a lição prática continua sendo a mesma de sempre, só que com mais urgência: atualizações em dia e atenção redobrada a plugins de origem duvidosa.