A agência de cibersegurança dos Estados Unidos, a CISA, adicionou em 3 de novembro de 2026 a falha CVE-2026-119977, do núcleo do WordPress, ao seu catálogo de vulnerabilidades conhecidas e exploradas (KEV), confirmando que atacantes já estão explorando o problema em ataques reais. Agências civis federais americanas têm até 6 de novembro para aplicar a correção. Não há confirmação de uso conhecido da falha em campanhas de ransomware.
Como a falha funciona
A falha, de gravidade alta (nota 8,1 no CVSS), é uma condição de corrida do tipo TOCTOU no processo de atualização do núcleo do WordPress. Durante uma atualização completa, o WordPress descompacta os novos arquivos em um diretório temporário de nome previsível, abaixo de wp-content/upgrade, que pode ser acessado pela web. Um atacante sem conta no site que alcance o instalador setup-config.php nesse intervalo pode apontar a instalação para um banco de dados sob seu controle e executar código no servidor. A exploração não exige login nem interação do usuário, mas depende de um timing preciso durante a atualização.
Quem está afetado e como corrigir
Estão afetadas as versões do núcleo do WordPress da 4.7 até a 7.1.3. A correção foi lançada na versão 7.1.4, em 28 de outubro de 2026, como parte de uma atualização de segurança, e foi portada para as ramificações anteriores com suporte, até a 4.7.39. Versões 4.6 e anteriores não recebem mais correções de segurança. A falha foi relatada pelo pesquisador Umut Bayram, e o CVE foi atribuído pela Wordfence.
A escala dos ataques
A escala da exploração é relevante: a Wordfence registrou mais de 18.500 requisições contra os caminhos do instalador nas primeiras 21 horas após a divulgação e, até 4 de novembro, seguia bloqueando mais de 12.600 tentativas por dia. Outro levantamento citado pela Cyber Security News fala em mais de 60 mil tentativas bloqueadas em 24 horas. O tema segurança também rendeu outra cobertura no Geekiki nesta semana: um pipeline de IA da OpenAI encontrou 948 vulnerabilidades de escalada de privilégio no kernel Linux.
Quem administra um site WordPress deve verificar a versão instalada e atualizar para a 7.1.4 ou para a versão corrigida da sua ramificação — e, como o ataque mira justamente a janela da atualização, vale conferir se há bloqueios de acesso ao diretório temporário antes de atualizar.
Fontes: Cyber Security News; Dev.to; Zero Day Feed; PCQuest. A falha consta no catálogo de vulnerabilidades exploradas (KEV) da CISA, dos Estados Unidos.
Crédito da imagem: logotipo do WordPress, via Wikimedia Commons (arquivo WordPress.com logo (2024).svg).
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com base em publicações oficiais, em publicações públicas no X e em fontes da internet. Consulte as fontes originais para confirmar as informações.
Muse
