Uma falha de segurança WordPress no núcleo da plataforma já está sendo explorada por atacantes. No dia 28 de outubro de 2026, o WordPress lançou a versão 7.1.4 para corrigir uma falha no próprio núcleo da plataforma, registrada como CVE-2026-119977. Poucos dias depois, em 3 de novembro, a agência de segurança dos Estados Unidos (CISA) colocou a falha na sua lista de vulnerabilidades exploradas ativamente. A Wordfence já bloqueou mais de 240 mil tentativas de ataque desde a correção.
O que é essa falha de segurança WordPress
O problema está no processo de atualização do WordPress. Durante uma atualização completa do núcleo, uma cópia temporária do instalador fica disponível por alguns instantes. Um atacante que consiga acessar esse arquivo nesse intervalo pode apontar o site para um banco de dados dele, criar um administrador e instalar um plugin malicioso.
Ou seja: o momento de atualizar virou a janela de ataque.
Quem é afetado
Praticamente todas as instalações a partir da versão 2.7. A correção foi enviada para todas as versões a partir da 4.7. Sites na versão 4.6 ou anterior não vão receber correção e precisam ser migrados.
O que fazer
- Antes de atualizar, bloqueie o acesso público à pasta /wp-content/upgrade/ no servidor e confirme que ela responde com erro 403.
- Atualize para o WordPress 7.1.4 (ou para a versão corrigida do seu ramo).
- Se o site atualizou sozinho, revise: existem administradores que você não conhece? Plugins novos? Arquivos PHP dentro da pasta upgrade? Alterações no wp-config.php?
- Tem site muito antigo? Se ele está na versão 4.6 ou anterior, é hora de planejar a migração.
Como saber se meu site foi afetado
Se o seu site recebeu a atualização automática, ou se você atualizou nos últimos dias, vale fazer uma conferência rápida. Nenhum desses sinais prova sozinho que houve invasão, mas todos merecem atenção:
- Em Usuários, procure administradores que você não criou ou que apareceram perto da data da atualização.
- Em Plugins, veja se surgiu algum plugin que você não instalou, mesmo que esteja desativado.
- No servidor, confira se há arquivos .php dentro de /wp-content/upgrade/. Essa pasta não deveria guardar arquivos depois que a atualização termina.
- Compare a data de modificação do wp-config.php com a última alteração que você lembra de ter feito.
- Se a hospedagem guarda registros de acesso, procure requisições para /wp-content/upgrade/ nos dias da atualização.
Encontrou algo estranho? Não apague nada às pressas. Faça uma cópia do site como está, troque as senhas de administrador, da hospedagem e do banco de dados e, se possível, peça ajuda para analisar os arquivos antes de limpar.
Checklist rápido de prevenção
- Backup completo (arquivos e banco de dados) guardado fora do servidor, feito antes de cada atualização do WordPress.
- Atualizações do núcleo, de plugins e de temas acompanhadas de perto, e não apenas deixadas no automático.
- Poucos administradores, cada um com o próprio login, senha forte e autenticação em dois fatores.
- Plugins e temas sem uso removidos, e não só desativados.
- Uma revisão periódica com uma lista de verificação, como o WordPress Security Checklist, que apresentei aqui no blog.
Esse não é o único alerta recente: o Contact Form 7, plugin de formulário muito popular, também teve uma falha crítica. Veja o que fazer com a falha no envio de arquivos do Contact Form 7. E, se ficou alguma dúvida sobre como eu trabalho, confira as perguntas frequentes.
Minha recomendação
Atualizar continua sendo a coisa certa a fazer. O ponto é atualizar com cuidado: backup antes, bloqueio da pasta temporária e uma conferência rápida depois. Se você não tem certeza se o seu site foi atualizado ou se alguém entrou nesse intervalo, posso fazer essa verificação para você.
Fale comigo | Veja minhas especialidades
Fontes
- Cloud Security Alliance: https://labs.cloudsecurityalliance.org/research/csa-research-note-wordpress-upgrade-race-cve-2026-119977-202/
- BoletimSec: https://boletimsec.com/falha-no-nucleo-do-wordpress-recebe-240-mil-tentativas-de-ataque/
- CybelAngel: https://cybelangel.com/blog/weekly-cyber-roundup-november-2-8/