CVE-2026-6279: Avada Fusion Builder até 3.15.2 - RCE sem autenticação por injeção de função PHP

Visão geral

O plugin Avada Fusion Builder para WordPress, nas versões até a 3.15.2 inclusive, contém uma falha de injeção que pode permitir que atacantes não autenticados executem código PHP arbitrário. Segundo o aviso da Wordfence, valores controlados pelo atacante chegam a uma chamada de função dinâmica sem validação por lista de permissões. A falha é classificada como CWE-74 e foi publicada em 2026-05-21.

Impacto

O vetor CVSS 3.1 classifica confidencialidade, integridade e disponibilidade como altas (C:H/I:H/A:H), com pontuação base de 9.8 informada pela Wordfence.
A exploração bem-sucedida permitiria executar código no contexto do servidor web, o que pode levar ao comprometimento total do site. Trata-se de uma inferência a partir da classificação e da descrição.
Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.

Produtos e versões afetados

Produto: Themefusion Avada (Fusion) Builder, plugin WordPress fusion-builder.
Versões: até a 3.15.2 inclusive.
O registro não informa versão corrigida nem lista de versões com correção. Considere todas as versões até a 3.15.2 inclusive como afetadas até que o fornecedor confirme uma versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista este CVE, portanto a exploração ativa não é confirmada por essa fonte. A probabilidade EPSS registrada é 0.02387 (percentil 0.8351), e o campo de exploração SSVC está definido como none. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

Faça um inventário de todos os sites que utilizam o plugin Avada Fusion Builder e registre as versões instaladas.
Atualize para uma versão posterior à 3.15.2 assim que o fornecedor publicar uma; os dados disponíveis não indicam uma versão corrigida.
Enquanto uma versão corrigida não for verificada, considere desativar temporariamente o plugin em sites expostos à internet onde seus recursos não sejam essenciais, e limite a exposição de funcionalidades AJAX sempre que possível.
Havendo sinais de comprometimento, troque credenciais e revise a integridade do site antes de recolocá-lo em operação.

Orientações de detecção

Revise os logs do servidor web e do WordPress em busca de requisições incomuns a endpoints AJAX, sobretudo com parâmetros inesperados ou valores codificados anormalmente grandes.
Procure arquivos PHP inesperados, arquivos de plugin modificados, novos usuários administradores ou tarefas agendadas desconhecidas.
Monitore conexões de saída originadas do servidor web que não sejam normais para o site.

Limitações das informações disponíveis

O registro não fornece versão corrigida, detalhes de correção do fornecedor nem telemetria de exploração além dos campos KEV e SSVC. Os dados de CVSS são atribuídos à Wordfence. A entrada EPSS está datada de 2026-10-13 no registro e deve ser conferida em relação à data de leitura. Os detalhes técnicos do caminho de código vulnerável são descritos aqui apenas em nível geral.

Perguntas frequentes

Quais versões do Avada Fusion Builder são afetadas?

O registro indica as versões até a 3.15.2 inclusive como afetadas. Os dados disponíveis não informam uma versão corrigida, portanto sites nessas versões devem ser tratados como em risco até que o fornecedor confirme uma correção.

Esta vulnerabilidade está sendo explorada ativamente?

O CVE não consta no catálogo KEV da CISA e o campo de exploração SSVC está definido como none. Nenhuma exploração confirmada aparece nas fontes consultadas, embora a falha seja classificada como crítica e não exija autenticação.

O que os responsáveis pelos sites devem fazer agora?

Façam um inventário das instalações afetadas, acompanhem as atualizações do fornecedor, considerem desativar o plugin em sites públicos onde ele não seja essencial e revisem logs e a integridade dos arquivos em busca de sinais de comprometimento.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.