WordPress · Exploração confirmada

Quase 63 mil ataques visam RCE do WordPress em 24 horas

28 de out. de 2026 · 2 min de leitura

Falha no núcleo do WordPress permite execução remota de código sem autenticação durante a janela de atualização do sistema. Quase 63 mil tentativas de ataque foram registradas em 24 horas. Atualize o WordPress para a versão 7.1.4.

Por Redação HIFY Radar Atualizado 03/11/2026 17:36 Receba isso todo dia →← Voltar ao feed 5 fontes

AltaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha no processo de atualização do WordPress Core permite execução remota de código sem autenticação durante a janela de atualização. Atacantes começaram a sondar a falha horas após a correção, lançada em 28 de outubro, e quase 63 mil tentativas foram registradas em 24 horas. A CISA incluiu a falha no catálogo KEV como CVE-2026-119977, com prazo federal de 6 de novembro de 2026.

Por que importa

Qualquer site WordPress entre as versões 4.7 e 7.1.3 fica exposto a invasão com execução de código sempre que o núcleo é atualizado. A Wordfence não confirmou comprometimentos bem-sucedidos, mas o volume de tentativas e a inclusão no KEV elevam o risco e criam urgência regulatória para órgãos federais americanos.

O que fazer

Atualize imediatamente para o WordPress 7.1.4, ou as versões de segurança dos ramos 4.7 a 7.0, pelo Painel > Atualizações. Investigue requisições PHP suspeitas em wp-content/upgrade e confirme que as atualizações automáticas estão ativas.

Para o time técnico

CVE: CVE-2026-119977
Afetados: WordPress (núcleo), versão 7.1.4 · WordPress Core 4.7 a 7.1.3. Versões 4.6 e anteriores não recebem mais atualizações de segurança.
Exploração: Tentativas ativas relatadas por Defiant/Wordfence: sondagens começaram horas após o lançamento da 7.1.4, em 28 de outubro; mais de 18.500 requisições a caminhos do instalador setup-config.php nas primeiras 21 horas e primeira detecção 9 minutos após a implantação da regra de firewall. The Hacker News relata quase 63 mil tentativas em 24 horas. CISA incluiu no KEV como CVE-2026-119977, com prazo de 6 de novembro de 2026. Wordfence não relatou comprometimentos bem-sucedidos.
Correção: WordPress 7.1.4, com correções também nos ramos de 4.7 a 7.0. A correção randomiza o diretório de staging, adiciona guarda de índice e impede a promoção insegura de dados de configuração preparados.
Vetor: WordPress Core, condição de corrida TOCTOU no processo de atualização: arquivos novos são descompactados em diretório de staging previsível e acessível pela web em muitos servidores. Exploração sem autenticação, com complexidade de ataque alta: exige atualização de pacote completo com arquivos do instalador, acesso web e PHP à árvore de staging, caminho previsível ou descoberto e tempo suficiente antes da limpeza dos arquivos temporários.
Mais detalhes: A versão 7.1.4, lançada em 28 de outubro, corrige 22 falhas, incluindo XSS armazenado em block markup, pedidos de remoção de dados de privacidade, Interactivity API, Customizer selective refresh, categorias, playlists, imagens, paginação de comentários e nomes de usuário; divulgação de mudanças não publicadas do Customizer a visitantes não autenticados; DoS armazenado na Interactivity API; acesso indevido a Notes; e troca dos certificados raiz após a revogação da eMudhra. A falha de RCE não tinha CVE na divulgação; terceiros atribuem CVSS 8.1 e 9.0 conflitantes, e a severidade oficial é baixa. Descoberta e reportada por Defiant (Wordfence).

Linha do tempo

03/11/2026 17:36
CISA inclui a falha no catálogo KEV como CVE-2026-119977, com prazo federal para aplicar as correções até 6 de novembro de 2026.
30/10/2026 13:44
Monitoramento registra quase 63 mil tentativas de exploração em 24 horas; a falha de RCE afeta o WordPress Core das versões 4.7 a 7.1.3 (CVSS 8.1), sem identificador CVE.
30/10/2026 11:56
Novo detalhe: as sondagens dos atacantes começaram horas após o lançamento da versão 7.1.4, em 28 de outubro; a falha segue sem CVE atribuído e é classificada oficialmente como de severidade baixa.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 6 atualizações

30/10/2026 11:10
The Hacker News relata quase 63 mil tentativas de ataque contra a falha em apenas 24 horas.
30/10/2026 09:11
SecurityWeek relata que atacantes já tentam explorar a race condition sem autenticação que leva à execução remota de código no WordPress.
28/10/2026 17:18
WordPress publica a versão 7.1.4 com correções para 22 vulnerabilidades.