CVE-2026-62087: Tema WordPress Equadio - injeção de objeto PHP
Uma falha de injeção de objeto PHP não autenticada (CWE-502) afeta o tema WordPress ThemeREX Equadio até a versão 1.1.4 inclusive, com pontuação CVSS de 9,8 informada pela Patchstack. O registro não lista versão corrigida nem exploração confirmada, e a CVE não consta no catálogo KEV da CISA. Administradores devem confirmar se o tema está instalado e seguir a orientação do fornecedor.
Visão geral
O registro descreve uma vulnerabilidade de injeção de objeto PHP não autenticada no tema WordPress ThemeREX Equadio. A Patchstack, atuando como CNA, publicou o caso em 10/10/2026 e classificou a falha como CWE-502 (Desserialização de Dados Não Confiáveis). Veja a entrada da Patchstack e o registro no NVD.
Impacto
- O vetor CVSS indica vetor de rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A pontuação é 9,8 (crítica).
- Os dados SSVC do registro classificam o problema como automatizável, com impacto técnico total.
- As consequências reais dependem dos caminhos de código do tema e do restante do site, que as fontes não descrevem.
Produtos e versões afetadas
- Produto: ThemeREX Equadio, tema para WordPress.
- Faixa afetada: até a versão 1.1.4, inclusive.
- O registro não informa versão corrigida.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00386, com percentil de 0,31525 em 23/10/2026. A exploração no SSVC está registrada como nenhuma.
Correção e mitigação
- Verifique se o tema Equadio está instalado em algum site WordPress e qual versão está em uso.
- Como as fontes não informam versão corrigida, confirme com o fornecedor ou com a Patchstack se existe uma versão atualizada antes de considerar o problema resolvido.
- Se o tema não for necessário, remova-o. Se for necessário, limite a exposição sempre que possível e use controles compensatórios que você consiga validar no seu ambiente.
- Mantenha o núcleo do WordPress, outros temas e plugins atualizados.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns, especialmente as que trazem dados serializados inesperados em parâmetros ou no corpo.
- Observe alterações inesperadas em arquivos ou a criação de contas administrativas.
- Trate qualquer sinal de comprometimento como incidente e siga o processo interno de resposta.
Limitações das informações disponíveis
- O registro não contém versão corrigida, referência de patch nem detalhes técnicos além da entrada da Patchstack.
- O status de origem do registro é Deferred, por isso a análise pode estar incompleta.
- Há duas entradas CVSS com a mesma pontuação e vetor, uma atribuída a um endereço de e-mail e outra à Patchstack.
- O componente vulnerável e o ponto de entrada não são descritos nas fontes.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada na prática?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro informa probabilidade EPSS de 0,00386.
Quais versões são afetadas?
O registro indica o tema Equadio até a versão 1.1.4, inclusive. Não há versão corrigida informada no registro.
O que os administradores devem fazer agora?
Verifique se o tema está instalado, consulte o fornecedor ou a Patchstack sobre uma versão atualizada, remova o tema se ele não for necessário e aplique controles compensatórios enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.