WordPress: falha explorada durante atualização entra no KEV
A CISA incluiu uma falha do núcleo do WordPress no catálogo de vulnerabilidades exploradas. Veja como conferir se o seu site foi atualizado direito e o que fazer se a atualização travou no meio do caminho.
Quem tem um site em WordPress costuma tratar a atualização como tarefa de rotina: clicar no botão e seguir em frente. Um alerta recente mostra por que vale conferir o resultado. Segundo o The Hacker News, a agência americana de cibersegurança CISA incluiu uma falha do núcleo do WordPress no catálogo de vulnerabilidades conhecidas e exploradas (KEV), citando evidências de exploração ativa.
O que foi divulgado
A falha é identificada como CVE-2026-119977, tem severidade alta (CVSS 8,1) e é descrita como uma condição de corrida do tipo TOCTOU, em que o sistema verifica algo e, no intervalo até usar essa informação, a situação muda. De acordo com o The Hacker News, ela pode ser explorada para execução arbitrária de código. O BleepingComputer informa que a CISA alertou agências federais americanas de que atacantes começaram a explorar, em ataques reais, uma vulnerabilidade recém-corrigida do WordPress.
As fontes consultadas não detalham quais versões são afetadas, qual versão traz a correção, nem como os ataques são conduzidos. Esses dados precisam ser confirmados no aviso oficial do WordPress antes de qualquer decisão. O título original do The Hacker News menciona que a exploração ocorre durante atualizações de software, mas o trecho disponível não explica o mecanismo.
Por que isso importa para uma pequena empresa
O KEV é uma lista de falhas com uso real comprovado, e a CISA a usa para dar prazo a órgãos federais. Para uma empresa brasileira, não há obrigação ligada a essa lista, mas ela serve como sinal de prioridade: se uma falha está ali, deixou de ser risco teórico. Um site comprometido pode expor dados de clientes e formulários, o que traz preocupações de LGPD, além do dano à reputação e à busca orgânica.
Primeiro, confirme a versão. No painel, em Painel > Atualizações, veja se o WordPress aparece como atualizado e compare o número com o indicado no anúncio oficial da correção. Se a tela mostrar que ainda há atualização pendente, ou mensagens de erro, a atualização não foi concluída.
Segundo, se o processo falhou ou travou, não ignore. Faça um backup completo do site e do banco de dados antes de tentar de novo, e repita a atualização em horário de pouco movimento. Se o site ficou em modo de manutenção por muito tempo, peça ajuda à hospedagem ou a quem cuida do site.
Terceiro, procure sinais de comprometimento, já que as fontes dizem que há exploração ativa: usuários administradores que ninguém criou, arquivos alterados recentemente, redirecionamentos estranhos ou plugins desconhecidos. Se algo suspeito aparecer, troque senhas de administrador e do banco de dados, revise acessos e considere restaurar um backup anterior ao problema.
Por fim, ative as atualizações automáticas de segurança quando possível e mantenha backups fora do servidor do site, para poder voltar atrás.
Em resumo
Atualizar é só metade do trabalho: confirmar que a atualização terminou e que o site continua íntegro é a outra metade. Acompanhe o aviso oficial do WordPress para os detalhes técnicos que as fontes não trazem.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.