2026-11-02
Falha do WordPress 7.1.4 CVE-2026-119977: corrigida uma condição de corrida na atualização do núcleo que pode levar à execução remota de código; verifique sua versão e as atualizações automáticas
Em 28 de outubro de 2026, o projeto WordPress lançou a versão de segurança 7.1.4, que corrige uma falha no processo de atualização do núcleo que pode levar à execução remota de código. Segundo o aviso de segurança do WordPress no GitHub, durante uma atualização do núcleo com pacote completo, o WordPress extraía os arquivos novos em um diretório previsível dentro da pasta de atualização acessível pela web, e um atacante sem autenticação que vença uma corrida contra essa extração poderia alcançar a execução remota de código (RCE). A correção está na 7.1.4 e foi portada para todos os ramos até o 4.7 (7.0.8, 6.9.11, 6.8.12 e assim por diante). A Wordfence, como CNA, publicou o CVE-2026-119977 em 31 de outubro, com nota CVSS v3.1 8,1 (alta) e complexidade de ataque alta; o aviso do WordPress a classifica como baixa e não informa nota. Segundo o SecurityWeek, um fornecedor de segurança para WordPress viu a primeira correspondência da sua nova regra de firewall nove minutos após implantá-la e registrou mais de 18.500 requisições direcionadas a locais temporários de atualização nas primeiras 21 horas; o fornecedor não relatou nenhum comprometimento bem-sucedido. Este site consultou o catálogo Known Exploited Vulnerabilities (KEV) da CISA em 2 de novembro e o CVE não constava. Sites com atualizações automáticas em segundo plano devem se atualizar sozinhos; sites com elas desativadas devem atualizar manualmente pela tela Atualizações. A conclusão deste site: confirme sua versão e, se as atualizações automáticas não estiverem funcionando, atualize manualmente hoje.