Vulnerabilidade CVE-2026-119977 afeta o processo de atualização do WordPress; agência americana estabelece prazo até 6 de novembro para correção em órgãos federais
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu, em 3 de novembro de 2026, uma vulnerabilidade do núcleo do WordPress em seu catálogo de falhas comprovadamente exploradas, conhecido como Known Exploited Vulnerabilities (KEV).
Identificada como CVE-2026-119977, a falha recebeu pontuação 8,1 na escala CVSS, correspondente à classificação de gravidade alta, e pode permitir que invasores executem códigos remotamente em servidores vulneráveis sem precisar de credenciais de autenticação.
O problema foi corrigido em 28 de outubro, com o lançamento do WordPress 7.1.4 e atualizações de segurança para versões anteriores. Entretanto, pesquisadores identificaram tentativas de exploração pouco depois da divulgação da correção.
A inclusão no catálogo da CISA reforça a urgência da atualização, especialmente para organizações que utilizam o WordPress em portais institucionais, plataformas de conteúdo, ambientes corporativos e serviços digitais.
Como funciona a vulnerabilidade
A falha está relacionada a uma condição de corrida conhecida como Time-of-check to Time-of-use (TOCTOU), que ocorre quando as condições verificadas por um sistema podem mudar antes da conclusão de determinada operação.
No caso do WordPress, o problema aparece durante a instalação de atualizações completas de seu núcleo, também chamado de WordPress Core. Durante esse processo, o software utiliza diretórios temporários para preparar os arquivos da nova versão antes de concluir a instalação.
Nas versões vulneráveis, determinados caminhos desses diretórios eram previsíveis e podiam ficar acessíveis pela internet. Essa combinação permitia que um invasor tentasse acessar arquivos de instalação temporários no momento em que o WordPress realizava a atualização.
Para que a exploração fosse bem-sucedida, seria necessário reunir condições específicas, incluindo acesso público ao diretório temporário, possibilidade de execução de PHP e tempo suficiente para atingir o processo antes da remoção dos arquivos.
Portanto, a vulnerabilidade não significa que qualquer instalação desatualizada possa ser comprometida a qualquer momento. O risco de exploração está associado à janela de atualização e às condições de exposição do servidor.
O pesquisador Umut Bayram, da Picus Security, foi creditado pela descoberta e comunicação responsável da vulnerabilidade.
Wordfence registra mais de 18,5 mil requisições em 21 horas
A Wordfence, empresa especializada em segurança para WordPress, informou que identificou movimentações suspeitas pouco depois da disponibilização das correções.
De acordo com a empresa, a primeira requisição identificada por uma nova regra de proteção ocorreu apenas nove minutos após sua implementação.
Nas primeiras 21 horas de monitoramento, foram registradas mais de 18,5 mil requisições direcionadas a caminhos temporários de instalação, especialmente aqueles relacionados ao arquivo setup-config.php.
Esse arquivo participa do processo de configuração do WordPress e pode representar um vetor de ataque quando fica acessível indevidamente durante uma atualização.
A empresa também identificou atividades repetitivas de consulta a diretórios temporários, comportamento compatível com tentativas automatizadas de encontrar o intervalo em que a vulnerabilidade poderia ser explorada.
Os números representam a telemetria da própria Wordfence. Não equivalem à quantidade de sites invadidos, organizações comprometidas ou ataques bem-sucedidos.
A confirmação de exploração ativa pela CISA representa uma evolução em relação aos primeiros relatos, que documentavam principalmente tentativas de exploração identificadas por ferramentas de segurança.
Especialista alerta que atualizar o WordPress não elimina possíveis comprometimentos anteriores
O WordPress está presente em sites institucionais, portais de notícias, operações de comércio eletrônico e plataformas corporativas de diferentes setores no Brasil. Essa ampla utilização torna vulnerabilidades em seu núcleo especialmente relevantes, considerando que muitas organizações dependem desses ambientes para comunicação, relacionamento com clientes e integração com outros sistemas.
Para aprofundar as implicações da vulnerabilidade e os cuidados necessários após a divulgação de sua exploração ativa, o Crypto ID procurou Rodrigo Neves, fundador e CEO da VitaminaWeb, empresa de tecnologia fundada em 2004, com atuação no desenvolvimento de soluções digitais.
Para Rodrigo Neves, o principal ponto de atenção está na arquitetura de hospedagem e na forma como as empresas administram seus ambientes digitais.
“Uma vulnerabilidade que permite execução remota de código precisa ser analisada considerando toda a infraestrutura em que a aplicação está hospedada. No Brasil, encontramos diferentes modelos de operação, desde hospedagens compartilhadas até ambientes em nuvem com arquiteturas complexas. Quando não existe isolamento adequado entre aplicações, permissões de arquivos bem definidas e restrições de execução, uma falha explorada no WordPress pode abrir caminho para o comprometimento de outros recursos acessíveis pelo mesmo servidor”, explica Neves.
O especialista também chama a atenção para os riscos associados às integrações e ao tratamento de dados pessoais. Dependendo da configuração da aplicação, uma invasão pode expor credenciais armazenadas, informações de conexão com bancos de dados e outros recursos utilizados pelo ambiente comprometido.
“Existe uma preocupação adicional para empresas brasileiras que tratam dados pessoais e estão sujeitas à LGPD. A exploração dessa vulnerabilidade não significa automaticamente que houve vazamento de informações, mas uma execução indevida de código pode permitir acesso a dados ou credenciais, dependendo das permissões disponíveis. Por isso, o processo de resposta deve avaliar a possibilidade de comprometimento de informações e a necessidade de adoção das medidas previstas na legislação”, acrescenta.
Outro aspecto relevante é que a vulnerabilidade ocorre durante o processo de atualização do próprio WordPress, demonstrando que procedimentos destinados à correção de falhas também precisam de controles específicos de segurança.
“A recomendação técnica é verificar a aplicação das correções, revisar os registros de acesso e investigar possíveis alterações não autorizadas. Atualizar o WordPress corrige a vulnerabilidade conhecida, mas, se houve exploração anterior, o atacante pode ter deixado mecanismos de persistência que não desaparecem com a instalação do patch. As empresas precisam ter condições de verificar a integridade do ambiente após a atualização”, conclui Rodrigo Neves.
CISA determina correção até 6 de novembro
A inclusão da CVE-2026-119977 no catálogo KEV ocorreu em 3 de novembro de 2026.
O catálogo reúne vulnerabilidades para as quais existem evidências de exploração em ambientes reais, permitindo que organizações priorizem suas ações de correção.
Para as agências civis federais dos Estados Unidos abrangidas pelas determinações da CISA, o prazo estabelecido para adoção das medidas necessárias é 6 de novembro de 2026.
A determinação americana não constitui uma obrigação regulatória direta para empresas brasileiras obviamente.
Entretanto, a presença de uma vulnerabilidade no KEV constitui um indicador importante para a gestão de riscos cibernéticos, pois demonstra que a ameaça deixou de ser apenas uma possibilidade técnica.
O Centro Canadense de Segurança Cibernética também publicou um comunicado em 3 de novembro, alertando administradores sobre a vulnerabilidade e recomendando a aplicação das atualizações disponíveis.
Quais versões do WordPress precisam ser atualizadas?
A vulnerabilidade afeta versões do WordPress Core entre 4.7 e 7.1.3, considerando as respectivas ramificações que ainda não receberam a correção.
A versão 7.1.4, lançada em 28 de outubro de 2026, incorpora a atualização de segurança.
O projeto WordPress também disponibilizou correções para diversas versões anteriores, permitindo que organizações que ainda utilizam determinadas ramificações instalem os respectivos pacotes de segurança.
Segundo a Wordfence, a correção inclui alterações destinadas a reduzir a previsibilidade dos diretórios temporários utilizados no processo de atualização e impedir o aproveitamento indevido dos arquivos preparados para instalação.
Administradores devem verificar a versão efetivamente instalada e confirmar se ela contém a correção, sem presumir que a ativação de atualizações automáticas seja suficiente para garantir que o procedimento tenha sido concluído.
O episódio também chama a atenção para um aspecto importante da segurança operacional: o processo de atualização de um software, quando inadequadamente protegido, pode se transformar em uma oportunidade de ataque.
Medidas recomendadas para administradores
Diante da confirmação de exploração ativa, administradores de sites WordPress devem priorizar a verificação de seus ambientes.
Entre as providências recomendadas estão:
- Confirmar a versão instalada: verificar se o núcleo do WordPress recebeu a atualização que corrige a CVE-2026-119977.
- Aplicar as correções disponíveis: atualizar para a versão 7.1.4 ou para uma versão anterior que já incorpore o respectivo pacote de segurança.
- Verificar registros de acesso: procurar requisições suspeitas a arquivos PHP dentro de diretórios temporários de atualização, especialmente em
wp-content/upgrade. - Investigar possíveis alterações não autorizadas: examinar contas administrativas desconhecidas, arquivos PHP inesperados e plugins instalados sem autorização.
- Revisar a exposição dos diretórios temporários: avaliar se arquivos utilizados durante a atualização podem ser acessados diretamente pela internet e se existem controles capazes de restringir esse acesso.
- Manter procedimentos de recuperação: verificar a disponibilidade de backups íntegros e a capacidade de restaurar os ambientes em caso de comprometimento.
Essas medidas devem integrar um processo contínuo de gestão de vulnerabilidades, com inventário de ativos, monitoramento de eventos e revisão de permissões.
Atualizar também exige segurança
A vulnerabilidade CVE-2026-119977 evidencia que a segurança de uma plataforma não depende apenas da correção de falhas no software em funcionamento. Ela também exige proteção dos processos que permitem instalar, configurar e atualizar os sistemas.
A inclusão da falha no catálogo KEV da CISA transforma o alerta técnico em uma prioridade concreta para administradores de ambientes WordPress. Para organizações que dependem desses sites como parte de sua presença digital ou de sua infraestrutura de atendimento, a recomendação é verificar imediatamente a aplicação das correções e investigar eventuais sinais de exploração.
A segurança de uma atualização não depende apenas de instalar o código correto, mas também de garantir que o próprio processo de atualização não exponha o ambiente a invasores.
Casa Branca terá agência de segurança cibernética
Binance revela ataque de US$ 6,34 bilhões planejado por meses com falsas entrevistas e IA
Novos ciberataques a supermercados europeus expõem falhas de segurança
Carteira digital alemã d-you promete simplificar onboarding bancário com identidade verificável
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
