O WordPress corrigiu em 28 de outubro de 2026 uma falha no processo de atualização do próprio núcleo que permite execução remota de código. Nas 24 horas seguintes, a Wordfence bloqueou 60.471 tentativas de exploração, contagem de tentativas registradas, não de sites comprometidos.
A falha é uma condição de corrida e está no núcleo do WordPress, não em plugin de terceiro, o que coloca na mesma condição toda instalação que se atualiza sozinha. Durante a atualização, o sistema extrai arquivos para uma pasta temporária de preparação. Nomes de pasta previsíveis e arquivos de instalação acessíveis pela web expõem por instantes um segundo instalador.
A exploração não exige autenticação. Quem alcança esse instalador no intervalo certo pode apontá-lo para um banco de dados sob controle do atacante, o que abre caminho para rodar código no servidor. A janela costuma durar segundos e existe apenas enquanto a atualização acontece.
Esse detalhe é o que torna o problema incômodo. Como a atualização automática do núcleo é padrão em boa parte das instalações, a janela se abre sem ação do administrador, e um site pode ser atingido durante uma rotina de manutenção que ninguém disparou à mão.
As correções saíram na versão 7.1.4, que reúne 22 falhas de segurança, e nas linhas 7.0.8 e 6.9.11, com adaptações até a 4.7.39. Versões 4.6 e anteriores não recebem mais atualização de segurança. O número de sites atingidos não foi estabelecido, porque a contagem de ataques não indica quantos alvos distintos foram tocados. O crédito pela descoberta é do pesquisador Umut Bayram.
A correção muda três pontos do processo. O nome da pasta temporária passa a receber 16 caracteres aleatórios, o tratamento do arquivo de índice volta ao comportamento anterior, e o arquivo de configuração deixa de ser copiado a partir do diretório de trabalho.
Quem administra site em WordPress tem três medidas imediatas: atualizar para a 7.1.4 ou para a versão de segurança da própria linha e confirmar que a atualização terminou, restringir o acesso público à pasta de atualização dentro do wp-content, e checar a cobertura do firewall de aplicação. A regra da Wordfence chegou em 28 de outubro para os planos pagos e está prevista para 27 de novembro na versão gratuita.
