Ing. Calogero Bono
O WordPress 7.1.4 é uma versão de segurança lançada em 28 de outubro, e inclui a correção de uma falha que permite executar código no servidor durante uma atualização do core. A CISA, agência dos Estados Unidos, confirmou que a vulnerabilidade, CVE-2026-119977, está sendo explorada e foi incluída no catálogo KEV. Isso importa porque o ataque não exige uma conta no site. Se você administra sites WordPress, a atualização não pode ficar para depois.
Alguns termos, antes de entrarmos nos fatos. CVE é o código que identifica uma vulnerabilidade conhecida. TOCTOU (time-of-check time-of-use) é uma race condition, ou seja, um defeito em que algo muda entre a verificação e o uso de um recurso. RCE significa execução remota de código. KEV é o catálogo da CISA com as vulnerabilidades cuja exploração foi comprovada. XSS stored é um script malicioso salvo no site e apresentado aos visitantes.
O que é a falha CVE-2026-119977?
Segundo o comunicado oficial do WordPress, trata-se de uma fraqueza no processo de atualização que pode levar à execução remota de código durante a janela de upgrade. A descoberta foi relatada por Umut Bayram, pesquisador da Picus Security.
Como informa o BleepingComputer, o problema nasce do uso de caminhos de staging previsíveis e acessíveis pela web durante as atualizações completas do core. A gravidade é alta, com pontuação CVSS 8.1 segundo o The Hacker News, e a complexidade do ataque é elevada.
Quão explorada ela realmente está?
A CISA incluiu a falha no catálogo KEV e determinou que as agências federais civis corrijam até 6 de novembro de 2026. A agência também convidou as empresas privadas a priorizar a correção.
Os números vêm da Wordfence, portanto são declarações de uma empresa de segurança. O BleepingComputer relata 13.095 ataques bloqueados em 24 horas. O The Hacker News cita mais de 18.500 requisições a caminhos «setup-config.php» nas primeiras 21 horas e 12.632 ataques bloqueados em outra janela de 24 horas. A Previdian registrou três tentativas contra seu honeypot em 30 de outubro.
O que mais o WordPress 7.1.4 corrige?
A versão não se limita à atualização. A lista oficial inclui diversas falhas de XSS stored em blocos e funções do core.
- bloco Categories, blocos Playlist e imagem, blocos de paginação de comentários
- Interactivity API, com várias XSS e um caso de denial of service
- Customizer, com uma XSS e a descoberta de changesets não publicados por usuários anônimos
- solicitações de remoção de dados pessoais e nomes de usuário elaborados
Também são corrigidas a leitura de notas por usuários privilegiados sem permissão de edição e os certificados raiz, atualizados por causa da revogação da eMudhra.
Por que 2026 está sendo um ano difícil para o core do WordPress?
Segundo o BleepingComputer, em julho a equipe de segurança corrigiu a cadeia wp2shell, composta por uma confusão nas rotas batch da REST API (CVE-2026-63030) e por uma SQL injection (CVE-2026-60137). Os exploits públicos apareceram um dia depois das correções.
Em setembro, um ator de língua chinesa usou a cadeia para extrair dados de mais de 18.500 registros de bancos de dados de pequenas empresas e organizações públicas. O precedente mostra o quanto é curto o tempo entre a correção e o ataque. Para aprofundar, nosso guia de segurança do WordPress explica as defesas básicas.
Limites a conhecer
Não sabemos quem está por trás dos ataques nem quantos sites foram comprometidos. A CISA não forneceu detalhes sobre a exploração, e os dados sobre ataques bloqueados vêm da Wordfence, com janelas de tempo diferentes entre as fontes. As correções para os ramos mais antigos, até a 4.7, ainda estão a caminho e serão lançadas assim que estiverem prontas.
O que muda para quem trabalha com o digital
Atualize agora para a 7.1.4, pelo menu Atualizações do Painel, caso as atualizações automáticas ainda não tenham sido aplicadas. Se você não tem um procedimento, nossa estratégia para atualizar sem quebrar o site é um bom ponto de partida. Quem gerencia muitos sites para clientes deve verificar também os que foram esquecidos. Um firewall como os comparados no guia de plugins de segurança ajuda, mas não substitui a correção.
Nossa opinião
A parte mais incômoda é que a falha atinge justamente o mecanismo com o qual deveríamos nos proteger. Atualizar é a defesa, mas durante a atualização se abre a janela de risco. O dado positivo é a resposta rápida da equipe de segurança. O negativo é o ritmo de 2026, com uma cadeia de exploits em julho e outra falha explorada em outubro. Quem trata as atualizações como tarefa para quando sobrar tempo está apostando contra os números.
Perguntas frequentes
O que o WordPress 7.1.4 corrige?
Corrige uma falha de execução de código no processo de atualização e diversas XSS stored. Inclui também a correção de um caso de denial of service e a atualização dos certificados raiz.
A falha CVE-2026-119977 exige uma conta?
Não. Segundo a Wordfence, citada pelas fontes, não é necessária nenhuma conta. O atacante precisa, porém, aproveitar uma janela curta durante uma atualização completa do core.
Quando sai o WordPress 7.2?
A previsão é para 8 de dezembro. A Beta 3 já está disponível e contém as correções aplicáveis.
Versões antigas também recebem a correção?
Sim, em parte. As correções estão sendo retroportadas para todos os ramos elegíveis até a 4.7 e serão lançadas assim que prontas. O WordPress lembra que apenas a versão mais recente recebe suporte ativo.
O prazo da CISA vale para empresas brasileiras?
Não, o prazo de 6 de novembro se aplica apenas às agências federais dos Estados Unidos. A CISA, porém, também pede que o setor privado priorize a correção.
O que observar nas próximas semanas sobre o WordPress
A correção já está disponível, mas a atenção agora se volta para os ramos mais antigos e para a beta 7.2. O período mais arriscado é aquele em que o exploit circula e os sites ainda não foram atualizados.
- Acompanhe a chegada das retroportações para as versões antigas que você ainda usa e planeje a migração.
- Leia os logs do servidor procurando requisições a caminhos de instalação como setup-config.php.
- Acompanhe as notas da Beta 3 e da 7.2, prevista para 8 de dezembro, antes de atualizar em produção.
