A equipe de segurança do WordPress liberou a versão 7.1.4 para solucionar 22 vulnerabilidades no núcleo do sistema, com destaque urgente para uma falha de execução remota de código (RCE) não autenticada. Identificada como CVE-2026-119977 e com pontuação de gravidade 8.1, a brecha afeta versões do software desde a 4.7, lançada em 2016. O risco prático da ameaça levou a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) a incluir o problema em seu catálogo de vulnerabilidades ativamente exploradas, definindo o dia 6 de novembro de 2026 como limite para a aplicação de correções em redes governamentais.
A mecânica da condição de corrida
O CVE-2026-119977 explora o processo de atualização de pacotes completos do WordPress por meio de uma condição de corrida do tipo Time-of-check Time-of-use (TOCTOU). Durante o upgrade, o sistema extraía os arquivos do novo instalador em um diretório temporário com caminho estático e previsível na pasta /wp-content/upgrade/.
Como esse caminho era publicamente acessível via web, invasores desenvolveram scripts para requisitar continuamente o arquivo setup-config.php da instalação temporária. Se a requisição HTTP externa alcançasse o servidor nos exatos segundos em que os arquivos estavam descompactados, o ataque assumia o controle do instalador. A partir daí, o agente malicioso conseguia finalizar a configuração do seu lado, criar um usuário administrador próprio e carregar códigos PHP arbitrários para o servidor.
A correção implementada na versão 7.1.4 neutraliza esse vetor ao randomizar o nome do diretório temporário durante a extração. O pacote também introduziu uma proteção de índice (index guard) para impedir a listagem e leitura não autorizada do diretório.
O desafio da proteção e a falha de firewalls internos
A natureza dessa vulnerabilidade cria um ponto cego perigoso para muitas ferramentas de segurança. Discussões técnicas em comunidades de cibersegurança alertam para uma limitação arquitetural fundamental: firewalls que carregam apenas como plugins dentro do ambiente do WordPress podem não registrar essas tentativas de ataque.
Isso ocorre porque os alvos da exploração são arquivos independentes no diretório de atualização. Quando o invasor acessa diretamente o setup-config.php temporário, o núcleo padrão do WordPress não é totalmente inicializado, o que impede a execução da maioria dos plugins de segurança baseados na aplicação. Para proteger o site adequadamente durante a transição da última atualização, a mitigação deve ser aplicada diretamente no nível do servidor web, configurando o Nginx ou o Apache para bloquear preventivamente a execução de arquivos PHP na pasta /wp-content/upgrade/.
Atualizações automáticas e a interferência de hospedagens
O WordPress possui um mecanismo nativo que aplica atualizações menores (minor core releases) automaticamente, o que deveria proteger a maioria das instalações de forma rápida contra vulnerabilidades críticas. No entanto, administradores de sistemas relatam que diversas empresas de hospedagem gerenciada e plugins de otimização desativam esse comportamento de forma silenciosa para evitar quebras de compatibilidade.
Essa interferência paralisa o fluxo de segurança e deixa milhares de sites expostos sem o conhecimento dos proprietários. A recomendação da comunidade de desenvolvedores é verificar o status real das atualizações automáticas acessando o “Painel > Atualizações” ou utilizando a ferramenta nativa “Saúde do Site”. Além disso, os mantenedores aconselham a criação de backups externos recentes antes de forçar o upgrade, recomendando não depender apenas dos instantâneos fornecidos pelo servidor de hospedagem.
Velocidade de exploração atinge pico de 240 mil bloqueios
Os dados coletados após a divulgação da falha revelam a alta capacidade de automação das varreduras. Segundo registros, a primeira tentativa de exploração detectada ocorreu apenas nove minutos após a publicação de uma regra de proteção em firewall comercial. Nas primeiras 21 horas, os servidores registraram mais de 18.500 requisições direcionadas exclusivamente aos caminhos de instalação temporária.
O volume consolidado de bloqueios ultrapassa 240.000 requisições. A estratégia principal dos criminosos é o envio contínuo de pacotes (sustained polling) para alvos aleatórios, apostando na probabilidade matemática de que um dos sites inicie uma atualização de núcleo naquele exato segundo. A ampla maioria das tentativas resulta em erro, já que o alvo simplesmente não existe fora do curto período do upgrade.
Outras vulnerabilidades corrigidas
Embora o RCE receba a maior atenção da indústria devido ao vetor de ataque remoto de alta complexidade técnica (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), o WordPress 7.1.4 inclui correções para outras 21 falhas. A maior parte desses problemas envolve falhas de Cross-Site Scripting (XSS) armazenado em componentes da interface, como o Customizer e os blocos de navegação. Ao contrário da condição de corrida, essas vulnerabilidades secundárias exigem que o invasor possua uma conta ativa com privilégios de nível Colaborador (Contributor) ou superior no painel do site.
