A CISA adicionou a CVE-2026-119977 ao catálogo Known Exploited Vulnerabilities (KEV) após identificar exploração de uma condição de corrida no processo de atualização do WordPress Core. O problema pode permitir execução de código no servidor durante a janela de upgrade, quando arquivos temporários do pacote de atualização ficam acessíveis por caminhos previsíveis.
O WordPress corrigiu a falha na versão 7.1.4, publicada em 28 de outubro de 2026. O projeto recomenda atualizar imediatamente. A CISA adicionou a CVE ao KEV em 3 de novembro e indicou 6 de novembro como prazo de correção.
Como funciona o risco
A falha é uma condição time-of-check time-of-use (TOCTOU). Em termos práticos, o sistema verifica uma condição e, antes de usar o arquivo ou caminho verificado, existe uma janela em que esse recurso pode ser alterado ou acessado de maneira inesperada.
No cenário descrito pela CISA, o risco está associado a caminhos de staging previsíveis e acessíveis pela web durante atualizações completas do core. Um atacante não autenticado pode tentar interferir nessa janela para fazer o servidor executar código controlado por ele.
Isso não significa que qualquer site WordPress esteja permanentemente vulnerável a RCE apenas por estar publicado. A exploração depende do momento e das condições do processo de atualização. Ainda assim, a janela é suficientemente relevante para ter sido incluída no KEV, e uma atualização interrompida ou mal validada pode deixar o administrador sem clareza sobre o estado real dos arquivos.
Versão corrigida e suporte
O WordPress 7.1.4 é o release de segurança que inclui a correção para a fraqueza no processo de upgrade. O anúncio oficial orienta baixar a versão pelo WordPress.org ou usar o painel administrativo em Atualizações e selecionar Atualizar agora.
O projeto informa que os patches de segurança estão sendo retroportados para todos os ramos elegíveis, atualmente até a versão 4.7. Esses backports podem chegar em momentos diferentes. O WordPress também reforça que somente a versão mais recente é ativamente suportada, portanto sites antigos devem planejar a atualização do ramo e não depender indefinidamente de backports.
A CISA descreve a vulnerabilidade como uma condição de corrida TOCTOU no WordPress Core. A entrada do KEV não fornece uma lista completa de versões afetadas no mesmo formato de alguns advisories de fabricantes; por isso, não é correto inventar um intervalo exato. A recomendação segura é confirmar a versão instalada e atualizar para 7.1.4 ou para o backport oficial correspondente ao ramo suportado.
Por que a falha é relevante
O WordPress é usado em sites institucionais, lojas, portais de notícia e sistemas que integram serviços externos. Uma execução de código no servidor pode permitir modificar arquivos, instalar persistência, roubar dados de configuração ou usar o site para distribuir malware e atacar visitantes.
O impacto é especialmente importante quando o WordPress roda com permissões excessivas. Se o processo web puder escrever em diretórios além do necessário, uma exploração durante o upgrade pode ampliar o alcance da alteração. A separação entre usuário do servidor web, arquivos de aplicação e banco de dados reduz o impacto, mas não substitui o patch.
O que fazer imediatamente
Atualize o core. Faça backup verificável, confirme os requisitos do ambiente e aplique o WordPress 7.1.4 ou o backport oficial do ramo em uso. Depois, confirme a versão exibida pelo painel ou por uma ferramenta administrativa confiável.
Verifique se o upgrade terminou. Procure mensagens de falha, diretórios temporários remanescentes e arquivos alterados durante a janela da atualização. Não presuma que um painel que voltou a carregar significa que todos os arquivos foram substituídos corretamente.
Reduza a exposição durante atualizações. Restrinja temporariamente o acesso administrativo a redes confiáveis e mantenha controles de firewall, WAF ou proxy capazes de limitar requisições inesperadas ao site. A configuração exata depende do ambiente; não desative o processo de atualização sem um plano de correção.
Revise permissões. O usuário do servidor web deve ter somente os privilégios de escrita necessários. Proteja arquivos de configuração, separe os serviços e evite permissões amplas em diretórios de staging, uploads e plugins.
Como investigar possível exploração
Preserve logs de acesso web, PHP, servidor, WAF e sistema no período de qualquer atualização recente. Procure requisições anormais durante a janela do upgrade, acessos a caminhos temporários, uploads inesperados, arquivos PHP recém-criados e alterações em wp-config.php, temas, plugins ou arquivos do core.
Compare os arquivos do core com uma cópia oficial da mesma versão e procure tarefas agendadas, usuários administrativos novos, tokens, webshells e conexões de saída desconhecidas. Verifique também o banco de dados em busca de opções modificadas, conteúdo injetado e alterações de contas.
Um log isolado não confirma comprometimento. Correlacione horários, hashes, processos e alterações de arquivo. Se houver indícios, coloque o site em contenção conforme o plano de resposta, preserve evidências e redefina credenciais de administrador, banco de dados, FTP, SSH e integrações depois de avaliar a extensão do incidente.
Atualizações automáticas
O WordPress informa que sites com atualizações automáticas em segundo plano habilitadas iniciarão o processo automaticamente. Mesmo nesses casos, o administrador deve verificar o resultado. Atualizações automáticas podem falhar por incompatibilidade, falta de espaço, permissões incorretas ou interrupção do serviço.
Plugins e temas não são corrigidos automaticamente pelo release do core. Depois de atualizar, mantenha esses componentes em versões suportadas, remova extensões abandonadas e confirme que cópias antigas ou arquivos temporários não continuam acessíveis publicamente.
Conclusão
A CVE-2026-119977 explora uma condição de corrida no processo de atualização completa do WordPress. O risco se concentra na janela em que arquivos de staging previsíveis podem ficar acessíveis, mas a consequência potencial — execução de código no servidor — justifica a correção imediata.
Atualize para o WordPress 7.1.4 ou para o backport oficial correspondente, valide o término do upgrade, reduza permissões do servidor web e revise logs de atualizações recentes. Como a CISA incluiu a vulnerabilidade no KEV, sites que não podem ser atualizados devem ser tratados como exceção temporária e colocados sob controles compensatórios rigorosos.
Fontes primárias
WordPress.org: WordPress 7.1.4 — release de segurança.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-119977.