2 itens neste dia. Um vale para todos os sites; o outro só importa se você usa o software citado.
Resumo em 10 segundos
Não usa The Events Calendar? Confira só o item para todos os sites e pronto: seu site não precisa de mais nada desta nota.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Para todos os sites
Falha na biblioteca Brotli do servidor pode derrubar sites WordPress por meio de pingbacks (CVE-2026-111497)
Afeta: servidores cujo cURL usa a biblioteca Brotli (a maioria das distribuições Linux e a imagem Docker oficial do WordPress)
Uma falha numa biblioteca de compressão instalada no servidor permite que alguém de fora, sem login, faça o site buscar um arquivo preparado e trave ou derrube o PHP, deixando o site fora do ar. A correção é feita no servidor, pela hospedagem, e não por um plugin.
Você mesmo
- Perguntar à hospedagem se a biblioteca Brotli (libbrotli) do servidor já foi atualizada para a 1.2.1 (ou 1.1.1 / 1.0.10, conforme o ramo) ou recebeu o patch de segurança da distribuição.
- Se o site não usa o aplicativo móvel do WordPress, Jetpack ou outra ferramenta que dependa do XML-RPC, pedir à hospedagem para bloquear o arquivo xmlrpc.php.
- Desativar pingbacks em Configurações > Discussão.
Seu dev ou hospedagem
- Atualizar libbrotli1 e conferir a revisão do pacote com dpkg-query (Debian/Ubuntu podem aplicar o patch na 1.1.0 sem mudar a versão upstream).
- Reconstruir imagens de contêiner; a wordpress:latest ainda trazia a biblioteca vulnerável segundo a Patchstack, então atualize o pacote na sua própria camada.
- Mitigação temporária: hook em http_api_curl definindo CURLOPT_ENCODING como 'identity'.
- Remover pingback.ping e pingback.extensions.getPingbacks pelo filtro xmlrpc_methods ou bloquear xmlrpc.php no Nginx/Apache (o filtro xmlrpc_enabled não fecha a rota).
- Monitorar segfault/signal 11 nos logs do Apache ou PHP-FPM, workers presos em 100% de CPU e POSTs pingback.ping sem login apontando para hosts desconhecidos.
- Um WAF não barra o ataque com confiança, porque o conteúdo malicioso chega na resposta de saída.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
The Events Calendar
eventos
Quem tem uma conta no site pode gravar um código que roda no navegador de quem abre a página do evento ou mexer em dados de eventos que não deveria, e um visitante sem login consegue ver algumas informações pouco sensíveis. A atualização resolve.
Você mesmo
- Atualizar o The Events Calendar para a versão 6.18.3 ou superior em Plugins.
- Conferir em Usuários quem tem conta de Colaborador ou superior e remover contas que não são mais usadas.
Seu dev ou hospedagem
- Confirmar a versão com: wp plugin get the-events-calendar --field=version e atualizar com wp plugin update the-events-calendar.
- Revisar eventos, organizadores e locais criados ou editados recentemente por usuários de baixo privilégio em busca de scripts inseridos.