WordPress corrige falhas de segurança, incluindo vulnerabilidade que permite execução remota de código
Uma falha no mecanismo de atualização do WordPress podia abrir caminho para a execução remota de código no servidor. O problema foi corrigido em 28 de outubro de 2026. Nas 24 horas seguintes, a Wordfence registrou e bloqueou 60.471 tentativas de exploração. Esse número representa ações detectadas, não a quantidade de sites invadidos.
A vulnerabilidade está no núcleo do WordPress, e não em um plugin específico. Por isso, instalações de diferentes sites podiam ficar expostas, especialmente quando a atualização automática estava ativada. A falha depende de uma condição de corrida: o atacante precisa agir durante um intervalo curto, enquanto o sistema realiza uma atualização.
Nesse processo, o WordPress extrai arquivos em uma pasta temporária. Como o nome desse diretório era previsível e determinados arquivos de instalação podiam ser acessados pela internet, surgia por alguns instantes a possibilidade de alcançar um segundo instalador. A brecha existia apenas durante a atualização, mas não exigia que o invasor estivesse autenticado.
Se conseguisse acessar o instalador no momento adequado, o atacante poderia direcioná-lo para um banco de dados sob seu controle. Isso poderia permitir a execução de código no servidor e, consequentemente, comprometer o site ou outros recursos associados à hospedagem.
O risco é especialmente relevante porque muitos sites recebem atualizações automáticas do núcleo. Assim, a janela de exposição podia surgir sem que o administrador iniciasse manualmente a manutenção. Embora o período vulnerável normalmente durasse poucos segundos, a automação torna difícil prever quando uma instalação estará atualizando.
As correções foram distribuídas na versão 7.1.4, que inclui 22 ajustes de segurança, além das versões 7.0.8 e 6.9.11. Também foram disponibilizadas atualizações para linhas anteriores, até a versão 4.7.39. Já as versões 4.6 e mais antigas não recebem novas correções de segurança.
O total de tentativas bloqueadas não permite determinar quantos sites foram visados ou comprometidos. Uma mesma instalação pode ser alvo de diversas requisições, e uma tentativa registrada não significa que a exploração tenha sido bem-sucedida. A descoberta da vulnerabilidade foi atribuída ao pesquisador Umut Bayram.
A atualização modifica três aspectos do processo: o nome da pasta temporária passa a incluir 16 caracteres aleatórios; o tratamento do arquivo de índice retorna ao comportamento anterior; e o arquivo de configuração deixa de ser copiado a partir do diretório de trabalho. Em conjunto, essas alterações dificultam o acesso indevido ao instalador temporário.
O que administradores de WordPress devem fazer
A medida prioritária é instalar a versão corrigida adequada à linha utilizada pelo site. Depois da atualização, é importante confirmar que o processo terminou sem erros e que a versão exibida no painel corresponde à versão instalada. Em ambientes com vários sites, a verificação deve ser feita em cada instalação, inclusive nas que recebem atualizações automaticamente.
Também é recomendável restringir o acesso público à pasta de atualização localizada em `wp-content`. Essa proteção não substitui a correção do núcleo, mas reduz a possibilidade de que arquivos temporários sejam acessados pela internet durante uma manutenção.
Administradores devem ainda verificar se o firewall de aplicação está ativo e atualizado. A regra da Wordfence foi disponibilizada em 28 de outubro para os planos pagos, com previsão de chegar à versão gratuita em 27 de novembro. Como a cobertura pode variar conforme o serviço utilizado, convém confirmar as configurações efetivas no painel de segurança.
Após aplicar a atualização, vale examinar os registros do servidor e do firewall em busca de acessos suspeitos a arquivos de instalação, requisições incomuns ou alterações inesperadas. A análise é particularmente importante para sites que ficaram sem correção durante o período de exposição. Caso haja indícios de invasão, atualizar o WordPress, por si só, não elimina possíveis arquivos maliciosos já instalados.
Manter cópias de segurança recentes também ajuda a reduzir o impacto de um incidente. O ideal é armazenar backups em local separado do servidor do site e testar periodicamente a restauração. Dessa forma, se uma atividade suspeita resultar em alterações ou indisponibilidade, a recuperação poderá ser feita com maior segurança.
Por fim, sites que utilizam versões sem suporte devem planejar uma migração para uma edição atual do WordPress. Quando uma linha deixa de receber correções, novas falhas podem permanecer sem solução, aumentando o risco ao longo do tempo. Atualizações regulares do núcleo, dos plugins e dos temas, combinadas com controle de acesso e monitoramento, são medidas essenciais para proteger uma instalação WordPress.