WordPress: falha no processo de atualização é explorada para executar código em servidores, alerta a CISA

Em 3 de novembro de 2026, a CISA incluiu em seu catálogo de vulnerabilidades exploradas ativamente a CVE-2026-119977, uma condição de corrida nas atualizações do núcleo do WordPress que permite a um atacante sem conta executar código no servidor durante a atualização. O WordPress corrigiu a falha na versão 7.1.4, lançada em 28 de outubro; as versões 4.7 a 7.1.3 são afetadas.

O que aconteceu

Em 3 de novembro de 2026, a agência americana CISA incluiu a falha CVE-2026-119977 do núcleo do WordPress em seu catálogo KEV, confirmando que ela está sendo usada em ataques. As agências federais têm até 6 de novembro para corrigi-la e também precisam fazer uma análise forense. O WordPress já tinha resolvido o problema na versão 7.1.4, lançada em 28 de outubro com outras onze correções de segurança, e o descreveu como uma fraqueza no processo de atualização que pode levar à execução remota de código durante a janela de atualização.

Como os atacantes entram

Segundo o registro CVE, publicado pela Wordfence, as atualizações completas do núcleo usam caminhos temporários previsíveis e acessíveis pela web. Um atacante que vence a corrida (uma falha do tipo time-of-check to time-of-use, com nota 8,1 no CVSS 3.1) consegue executar código no servidor, sem nenhuma conta, enquanto a atualização está em andamento. Todas as versões de 4.7.0 a 7.1.3 são vulneráveis. O ataque é complexo, mas real: segundo o BleepingComputer, a Wordfence afirma ter bloqueado 13.095 tentativas em 24 horas.

O que fazer agora

1. Verifique a versão de cada site: wp core version com o WP-CLI, ou Painel > Atualizações.
2. Atualize para a 7.1.4 (wp core update). Para versões mais antigas, o WordPress informa que está publicando correções retroativas até a 4.7: instale a versão mais recente do seu ramo e planeje a migração para a 7.1.
3. Por precaução, bloqueie o acesso web ao diretório wp-content/upgrade/ (location ^~ /wp-content/upgrade/ { deny all; } no Nginx, Require all denied no Apache), que nenhum visitante precisa acessar.
4. Procure vestígios: execute wp core verify-checksums, procure arquivos PHP em wp-content/upgrade/, contas de administrador desconhecidas e arquivos alterados recentemente, e revise os logs web nos períodos das últimas atualizações.

Nossa opinião

Aqui o ponto fraco era o próprio processo de atualização: não basta atualizar, é preciso proteger também o momento em que a atualização é instalada. Em sites de empresas, a equipe deve atualizar de forma controlada, fechar o acesso web aos diretórios de trabalho e verificar a integridade dos arquivos após cada atualização.

Fontes

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-119977 (WordPress Core)
• WordPress.org — WordPress 7.1.4
• CVE Program — CVE-2026-119977 record
• BleepingComputer — CISA flags WordPress RCE flaw as actively exploited in attacks

Como escolhemos, verificamos e escrevemos nossas análises →