A Wordfence bloqueou mais de 240 mil tentativas de ataque desde 28 de outubro contra uma falha no processo de atualização do núcleo do WordPress, registrada como CVE-2026-119977 e avaliada com nota 8,1 de 10. A contagem começa no dia em que o WordPress publicou a correção, e o pico passou de 74 mil requisições barradas em um único dia.
A atividade mais intensa ficou nos quatro dias seguintes à correção. São requisições barradas pelo firewall, não infecções: a contagem mede tentativa e não sucesso, e não comprova que algum atacante tenha concluído as etapas necessárias para tomar um site. A diferença importa, porque um número alto de tentativas não indica por si quantos sites foram comprometidos.
A falha está na rotina de atualização completa do núcleo. Durante o processo, os arquivos de instalação são extraídos para uma pasta temporária de upgrade cujos nomes são previsíveis e alcançáveis publicamente. É uma condição de corrida: existe um intervalo de segundos entre o arquivo ser gravado e ser usado, e nesse intervalo ele fica exposto a quem souber onde procurar.
Dentro dessa janela, o atacante alcança o instalador exposto e conclui uma instalação em etapas, como se fosse o administrador legítimo encerrando a configuração do site. O passo seguinte é criar uma conta de administrador própria e enviar código PHP malicioso. A sequência não exige conta existente no site nem qualquer interação do usuário.
O resultado possível é backdoor instalada, conteúdo alterado ou roubo de dados, todos com privilégio total sobre o site. O que torna o caso incomum é onde fica a brecha: ela se abre durante a atualização, ou seja, enquanto o administrador protege o site. Como a atualização automática do núcleo é padrão em boa parte das instalações, a janela se abre sem ninguém disparar nada à mão.
Ficaram vulneráveis os branches não corrigidos, da versão 4.7 até a 7.1.3. A correção está na 7.1.4, e os branches mais antigos receberam backports, então cada linha tem a sua própria versão reparada. Apenas a linha mais recente recebe suporte ativo, o que torna a atualização de versão a saída mais segura para quem roda uma linha antiga.
A orientação é instalar a 7.1.4 ou a versão corrigida do branch em uso, e conferir se a atualização automática foi concluída, porque em muitos sites ela já aplicou a correção sozinha. Antes de atualizar, vale bloquear o acesso público a arquivos PHP na pasta de upgrade, que é a mitigação recomendada pela Wordfence para fechar a janela durante o processo. E como o volume de tentativas não diz quantas deram certo, qualquer site que tenha passado por uma atualização de núcleo desde 28 de outubro merece uma revisão da lista de administradores e dos arquivos PHP modificados.
