Em julho, Adam Kues, da Searchlight Cyber, publicou duas coisas: a falha batizada de wp2shell, em 17 de julho, e, três dias depois, um relato de como a encontrou com o GPT-5.6 Sol Ultra. A falha é real e já foi corrigida.
A falha
É uma execução remota de código sem autenticação no núcleo do WordPress, sem precisar de plugin nem de configuração especial. Combina duas vulnerabilidades, CVE-2026-63030 (uma dessincronia na rota /batch/v1 da REST API) e CVE-2026-60137 (SQL injection no parâmetro author__not_in). Afetou as versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1, corrigidas na 6.9.5 e na 7.0.2. A série 6.8 recebeu o patch 6.8.6. O CyberInsider aponta nota CVSS 9.8, provas de conceito circulando e “primeiros indícios” de exploração em ambiente real. O WordPress ativou atualizações automáticas de segurança, e um paliativo é bloquear requisições batch da REST API.
Como o modelo entrou
Kues escreveu um prompt que mandava o modelo procurar zero-days no código do WordPress, com até 4 agentes ao mesmo tempo, abordagens variadas e pelo menos 6 horas de investigação. O repositório foi entregue sem histórico de git, para o modelo não comparar com versões corrigidas. O Sol trabalhou por mais de 10 horas no desenvolvimento técnico do exploit. O pesquisador deu a direção, adaptou o prompt e validou os achados, inclusive confirmando a SQL injection numa instância de teste antes de reportar ao WordPress.
De onde vêm os $25
O número é uma conta proporcional, não um gasto de API. Nas palavras de Kues: uso total de 50% do limite semanal, custo proporcional na assinatura de $200 de cerca de $25. A versão anterior deste post falava em “créditos de API”, o que estava errado. O valor também não inclui o tempo dele entendendo o resultado, que ele diz ter sido bem maior que o do modelo.
O que não está comprovado
O título do relato menciona que corretores de exploits pagam $500.000 por uma falha dessas, mas o texto não cita fonte para esse valor. Também não dá para generalizar: é um caso, com um pesquisador experiente conduzindo. Para quem administra WordPress, a ação é simples: confira se o site está na 6.9.5, 7.0.2 ou 6.8.6 ou superior.
