WordPress · núcleo do WordPress
A nova versão do WordPress fecha 22 brechas. A principal poderia permitir que alguém de fora executasse código no servidor durante os poucos segundos de uma atualização; as outras deixam usuários com conta no site gravar código que roda no navegador de quem abre a página.
Você mesmo
- Atualizar o WordPress para a 7.1.4 (ou para a versão corrigida do seu ramo, como 7.0.8 ou 6.9.11) em Painel > Atualizações.
- Conferir se a atualização automática já foi aplicada.
- Revisar quem tem conta de Colaborador ou superior em Usuários.
Seu dev ou hospedagem
- Bloquear o acesso web a wp-content/upgrade/ no servidor (Nginx/Apache) e garantir que a pasta não possa ser listada.
- Confirmar a versão com: wp core version e, se preciso, wp core update.
- Um firewall em nível de PHP não barra a falha do processo de atualização; a proteção precisa ser no servidor web.
Detalhes técnicos: O WordPress 7.1.4, lançado em 28/10/2026, corrige 22 vulnerabilidades (17 avisos, pela contagem da Patchstack). A mais grave é uma condição de corrida no processo de atualização: sem login, um invasor que acerte o caminho certo em wp-content/upgrade/ durante os segundos em que uma atualização roda pode executar código no servidor (complexidade alta; código presente desde a 2.8). As demais são, em sua maioria, XSS armazenado (Interactivity API, marcação de blocos, Customizer, blocos de Categorias, Playlist/Imagem e paginação de comentários, logins de usuário e pedidos de remoção de dados), que em geral exigem conta de Colaborador ou superior, além de changesets do Customizer não publicados visíveis a visitantes, Notas legíveis por quem não pode editar o post e atualização dos certificados raiz (revogação da eMudhra). Correções retroportadas até a 4.7 (7.0.8, 6.9.11, 6.8.12 … 4.7.39); sem CVEs atribuídos e sem relato de exploração ativa.