Para quem é este artigo: quem mantém sites WordPress (servidor próprio, VPS, hospedagem compartilhada, hospedagem WordPress gerenciada) e quem deixa as atualizações do site com uma agência ou um provedor. Este artigo se baseia no comunicado e no aviso do projeto WordPress, no registro do CVE e na cobertura da imprensa. Ele não explica passos de ataque.
Em andamento: esta página será atualizada conforme novas informações forem publicadas
- Quem é afetado
quem mantém sites WordPress (servidor próprio, VPS, hospedagem compartilhada, hospedagem WordPress gerenciada) e quem deixa as atualizações do site com uma agência ou um provedor.
- Confirmado até agoraVer a tabela ↓
- A falha
- Versões afetadas
- Versões corrigidas
Mais 2
- Gravidade
- Número CVE
- Ainda não confirmado
- Se a CISA incluirá o CVE no catálogo Known Exploited Vulnerabilities (não constava em 2 de novembro)
- Qualquer exploração ou comprometimento confirmado (o fornecedor de segurança não relatou nenhum)
- A avaliação própria do NVD (status: Received)
Mais 1
- Quando o projeto anunciará as versões corrigidas dos ramos mais antigos (o comunicado diz que serão lançadas conforme ficarem prontas)
- O que fazer agoraVer os passos ↓
- Verifique a versão do seu WordPress
- Verifique se as atualizações automáticas estão funcionando
- Faça backup e atualize manualmente
Mais 3
- Depois, verifique a versão e o site
- Se outra pessoa cuida do site, pergunte a ela
- Se atualizou tarde, olhe a atividade desde 28 de outubro
- Onde verificar (fonte)Todas as fontes ↓
- Projeto WordPress, "WordPress 7.1.4 Security Release" (28 de outubro de 2026)
- Última verificação
- Em 2 de novembro de 2026 (JST)
Próximos avisos e o que verificamos
O comunicado do WordPress sobre a versão de segurança 7.1.4 diz que se recomenda atualizar imediatamente e que os sites com atualizações automáticas em segundo plano começarão a se atualizar sozinhos. O CVE foi publicado em 31 de outubro. A imprensa relata requisições direcionadas à falha, mas nenhum comprometimento bem-sucedido.
O que fazer hoje
Verifique a versão do seu WordPress
Abra Painel > Atualizações na tela de administração para ver sua versão atual e se há uma mais nova disponível. Se você não consegue fazer login, ou cuida de vários sites, wp core version funciona no servidor se o WP-CLI estiver instalado. As versões corrigidas são 7.1.4 (ramo 7.1), 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14 e 6.4.14. O aviso também lista correções para ramos mais antigos (veja a tabela abaixo).
Verifique se as atualizações automáticas estão funcionando
Por padrão, o WordPress aplica sozinho as atualizações pequenas, como correções de segurança. Elas podem ser desativadas por uma configuração no arquivo de configuração, por um plugin, pela configuração da sua hospedagem ou pelas permissões de arquivos. Abra Ferramentas > Saúde do site na tela de administração e procure problemas com as atualizações em segundo plano. Se não sabe por que elas estão desativadas, atualize manualmente desta vez.
Faça backup e atualize manualmente
Faça backup dos arquivos e do banco de dados fora do servidor (o essencial de backup e recuperação). Depois clique em Atualizar agora na tela Atualizações. Não feche o navegador nem inicie outras atualizações enquanto ela roda.
Depois, verifique a versão e o site
Confirme que a tela Atualizações mostra a versão mais recente e que a página inicial, o login e os formulários de contato funcionam. A 7.1.4 também contém várias correções de XSS armazenado, então fique atento a avisos dos seus plugins e do seu tema.
Se outra pessoa cuida do site, pergunte a ela
Para sites mantidos por uma agência, um parceiro, uma hospedagem compartilhada ou gerenciada, pergunte hoje quem atualiza o núcleo do WordPress e quando. Verifique você mesmo a versão na tela de administração.
Se atualizou tarde, olhe a atividade desde 28 de outubro
Procure, desde 28 de outubro, requisições que você não reconhece, arquivos que você não colocou e contas de administrador que você não criou. Como verificar está em como verificar se seu site ou servidor foi comprometido.
Atualizações automáticas ativadas
Começam sozinhas (segundo o comunicado). Confirme na tela Atualizações que aconteceu
Atualizações automáticas desativadas ou falhando
Você atualiza. Backup, atualização e testes
Agência ou hospedagem cuida disso
Pergunte quem atualiza e quando, e verifique a versão você mesmo
O que dizem o comunicado e o aviso
O projeto WordPress publicou "WordPress 7.1.4 Security Release" no wordpress.org em 28 de outubro de 2026, com uma lista de correções. A explicação desta falha está no aviso de segurança do GitHub publicado em 29 de outubro.
- Versão
- O WordPress 7.1.4 foi lançado em 28 de outubro de 2026. O comunicado diz que se recomenda atualizar os sites imediatamente
- A falha (aviso)
- Durante uma atualização do núcleo com pacote completo, o WordPress extraía os arquivos novos em um diretório previsível dentro da pasta de atualização acessível pela web. Um atacante sem autenticação que vença uma corrida contra essa extração poderia alcançar a execução remota de código (RCE)
- Redação do comunicado
- Listada como uma fraqueza no processo de atualização que pode levar à execução remota de código durante a janela de atualização. A página do comunicado não traz gravidade, número CVE nem lista de versões afetadas
- Correção
- Corrigida na 7.1.4. Segundo o aviso, como cortesia aos usuários de ramos mais antigos, a correção foi portada para todos os ramos até o 4.7. O comunicado diz que os backports serão lançados conforme ficarem prontos
- Gravidade (WordPress)
- O aviso a classifica como baixa e não informa nota
- Atualizações automáticas
- O comunicado diz que, nos sites com atualizações automáticas em segundo plano, o processo de atualização começará automaticamente
- Suporte
- O comunicado diz que apenas a versão mais recente do WordPress recebe suporte ativo
- Outras correções da versão
- Várias falhas de XSS armazenado e conjuntos de alterações não publicados do Personalizador que usuários sem autenticação podiam descobrir, entre outras (a lista do comunicado)
- CVE
- CVE-2026-119977, publicado pelo fornecedor de segurança Wordfence atuando como CNA. O status no NVD é Received (recebido) e o NVD não acrescentou sua própria avaliação
- Descrição
- Núcleo do WordPress 4.7 a 7.1.3: caminhos de preparação previsíveis e acessíveis pela web usados durante as atualizações do núcleo com pacote completo permitem que atacantes sem autenticação executem código no servidor durante a janela de atualização
- Gravidade (CVE)
- CVSS v3.1 8,1 (alta): rede, sem privilégios, sem interação do usuário, complexidade de ataque alta. Tipo de fraqueza CWE-367 (condição de corrida entre verificação e uso, TOCTOU)
- Divergência
- O aviso do WordPress diz baixa e o registro do CVE diz alta. Vêm de avaliadores diferentes, então nenhum está simplesmente errado. A visão deste site é que, havendo correção disponível, atualizar é a prioridade certa mesmo para uma falha difícil de explorar
Versões corrigidas (segundo o aviso)
| Ramo | Afetadas | Corrigida |
|---|---|---|
| 7.1 | 7.1.0 a 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 a 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 a 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 a 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 a 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 a 6.6.10 | 6.6.11 |
| 6.5 | 6.5.0 a 6.5.13 | 6.5.14 |
| 6.4 | 6.4.0 a 6.4.13 | 6.4.14 |
| 6.3 | 6.3.0 a 6.3.13 | 6.3.14 |
| 6.2 | 6.2.0 a 6.2.14 | 6.2.15 |
| 6.1 | 6.1.0 a 6.1.15 | 6.1.16 |
| 6.0 | 6.0.0 a 6.0.17 | 6.0.18 |
| 5.9 a 5.0 | até a última versão de cada ramo | 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31 |
| 4.9 a 4.7 | até a última versão de cada ramo | 4.9.35, 4.8.34, 4.7.39 |
O aviso não lista correção para 4.6 e anteriores. Ramos antigos nem sempre se atualizam sozinhos; se você ainda usa um, atualize manualmente ou planeje a migração para uma versão com suporte.
Exploração (segundo reportagens)
Isto vem do relato de um fornecedor de segurança repassado pela imprensa. O comunicado do projeto WordPress não diz nada sobre exploração.
- Quem observou
- Um fornecedor de segurança para WordPress. Segundo o SecurityWeek (30 de outubro), o fornecedor disse que a exploração começou em poucas horas após o lançamento dos patches
- Números
- A primeira correspondência da nova regra de firewall do fornecedor veio nove minutos após a implantação e, nas primeiras 21 horas, ele registrou mais de 18.500 requisições direcionadas a locais temporários de atualização
- Comprometimento bem-sucedido
- O fornecedor não relatou nenhum
- O que um ataque exige (imprensa)
- Uma janela muito estreita enquanto o WordPress descompacta uma atualização completa do núcleo. Segundo o relato, os atacantes consultam repetidamente os caminhos vulneráveis para aproveitá-la
- KEV
- Quando este site consultou o catálogo KEV da CISA em 2 de novembro de 2026 (catálogo atualizado pela última vez em 30 de outubro), o CVE-2026-119977 não constava
A visão deste site: não estar no KEV não significa estar seguro. O que foi observado é uma contagem de requisições que parecem sondagem, sem nenhum comprometimento bem-sucedido relatado, mas a correção tem apenas alguns dias e o quadro pode mudar. Os sites com atualizações automáticas desativadas são os mais propensos a ficar para trás.
O que se sabe e o que não se sabe
| Item | O que foi publicado | Status |
|---|---|---|
| A falha | Uma condição de corrida durante uma atualização do núcleo com pacote completo que pode levar a RCE sem autenticação; corrigida na 7.1.4 (aviso do WordPress) | Confirmado (WordPress) |
| Versões afetadas | 4.7 a 7.1.3 (registro do CVE, aviso) | Confirmado (WordPress, registro do CVE) |
| Versões corrigidas | 7.1.4 e correções para todos os ramos até o 4.7 (aviso) | Confirmado (WordPress) |
| Gravidade | WordPress: baixa (sem nota). Registro do CVE: CVSS v3.1 8,1 (alta), complexidade de ataque alta | Confirmado (difere conforme o avaliador) |
| Número CVE | CVE-2026-119977, publicado em 31 de outubro; não consta no comunicado do WordPress | Confirmado (registro do CVE) |
| Requisições direcionadas à falha | Mais de 18.500 nas primeiras 21 horas (fornecedor de segurança, imprensa) | Relatado (fornecedor de segurança) |
| Comprometimento bem-sucedido | O fornecedor não relatou nenhum | Nenhum relatado |
| KEV da CISA | Não constava em 2 de novembro | Não consta |
| Avaliação própria do NVD | Ainda não acrescentada (status: Received) | Ainda sem nota do NVD |
A atualização pode esperar?
Segundo o aviso, o problema ocorre durante uma atualização do núcleo com pacote completo. Nenhuma fonte oficial diz mais sobre as condições, nem se um site que não se atualizou está sendo atacado o tempo todo. Este site não preenche essa lacuna com suposições: existe uma correção, então confirme rapidamente que sua versão é uma versão corrigida.
Se você usa hospedagem compartilhada ou hospedagem WordPress gerenciada
Alguns planos atualizam o núcleo do WordPress por você e outros deixam isso por sua conta. Depende do seu plano e do seu contrato, então verifique sua versão na tela de administração e leia o aviso do seu provedor.
O que o provedor pode fazer (depende do seu plano)
- Oferecer atualizações automáticas ou uma ferramenta de atualização com um clique para o núcleo
- Publicar um aviso sobre a sua resposta, quando couber
O que você faz
- Verifique na tela Atualizações que sua versão é uma versão corrigida
- Verifique se as atualizações automáticas não foram desativadas e, se foram, atualize manualmente
- Leia os avisos do provedor no site oficial dele, não por links de e-mail
- Mantenha também plugins e temas atualizados
Seu site pode ficar brevemente indisponível durante uma atualização. Em alguns servidores a atualização falha por causa de permissões de arquivos ou falta de espaço em disco. Se isso acontecer, garanta que você consegue restaurar a partir do backup e então fale com seu provedor.
Cuidado com e-mails falsos que se passam pela sua hospedagem
Quando uma vulnerabilidade está nas notícias, aumentam os e-mails que se passam por provedores de hospedagem ou de domínio ("atualize imediatamente", "sua conta será suspensa"). Não faça login por links de e-mail; confira no site oficial que você mesmo salvou nos favoritos. Como reconhecê-los está em o que é phishing.
Visão deste site: o problema não é o botão de atualizar, e sim as atualizações que pararam
Esta falha estava no próprio processo feito para manter um site seguro. Com a correção disponível, o risco que resta está nos sites com atualizações automáticas desativadas, nos sites em que ninguém é responsável por atualizar e nos sites deixados em ramos antigos. Para saber como priorizar, veja como priorizar vulnerabilidades (CVSS, EPSS, KEV), e para o que fazer após a divulgação, o manual de resposta a vulnerabilidades.
Cronologia
28 de outubro de 2026
O projeto WordPress lança a 7.1.4, corrigindo uma falha no processo de atualização que pode levar a RCE, várias falhas de XSS armazenado e outras.29 de outubro
O WordPress publica o aviso de segurança no GitHub: uma condição de corrida durante atualizações do núcleo com pacote completo, com a correção portada para todos os ramos até o 4.7. O campo CVE diz "No known CVE".30 de outubro
A imprensa relata que um fornecedor de segurança para WordPress viu uma primeira correspondência da sua regra de firewall nove minutos após implantá-la e registrou mais de 18.500 requisições nas primeiras 21 horas. Nenhum comprometimento bem-sucedido é relatado.31 de outubro
A Wordfence, como CNA, publica o CVE-2026-119977, CVSS v3.1 8,1 (alta). Status no NVD: Received.2 de novembro
Este site verifica o comunicado, o aviso, o registro do CVE e o KEV. O CVE não consta no KEV.
Fontes (registro público)
Verificadas em 2 de novembro de 2026. Primeiro o comunicado oficial, depois a cobertura da imprensa.
- Projeto WordPress, "WordPress 7.1.4 Security Release" (28 de outubro de 2026) — wordpress.org
- Aviso de segurança do GitHub do WordPress GHSA-4w3m-c66w-69mg, "A race condition during core updates that could lead to remote code execution" (29 de outubro de 2026) — github.com
- CVE-2026-119977 (publicado em 31 de outubro de 2026 pela Wordfence) — cve.org / nvd.nist.gov
- Catálogo Known Exploited Vulnerabilities da CISA (verificado em 2 de novembro para este CVE; dados atualizados pela última vez em 30 de outubro) — cisa.gov / JSON
- Imprensa: SecurityWeek, "Fresh WordPress Vulnerability in Attackers' Crosshairs" (30 de outubro de 2026) — securityweek.com
Histórico de atualizações
2026-11-02: Primeira versão, com base no comunicado e no aviso do WordPress, no registro do CVE-2026-119977 e na reportagem do SecurityWeek. O CVE não constava no KEV em 2 de novembro.
Leia a seguir
- Seu site foi atacado: Como verificar se seu site ou servidor foi comprometido
- Reforço do WordPress: Segurança do WordPress
- Preparação: O essencial de backup e recuperação / Checklist de inventário de segurança
- Outra correção crítica no mesmo mês: As duas falhas críticas do PHP e as versões de emergência (outubro de 2026) / Verificando o PHP que seu site realmente executa após um patch de emergência
- Termos: O que é RCE (execução remota de código) / O que é CVSS