Release de segurança WordPress 7.1.4: o que as agências devem fazer hoje

Atualização, 5 de novembro de 2026: A Wordfence já conta mais de 240.000 tentativas bloqueadas contra esta falha desde 28 de outubro, com pico de mais de 74.000 em 30 de outubro. A CISA incluiu a CVE-2026-119977 no catálogo Known Exploited Vulnerabilities em 2 de novembro. A Wordfence ainda considera um ataque bem-sucedido difícil na prática, porque ele só funciona nos segundos em que uma atualização roda. O conselho deles é o mesmo que o nosso: atualize agora para a 7.1.4 ou o backport do seu ramo, e bloqueie arquivos PHP em wp-content/upgrade/ no servidor web antes de atualizar. Usuários gratuitos da Wordfence recebem a regra de firewall em 27 de novembro. Fonte: Wordfence, 5 de novembro de 2026.

Atualização, 31 de outubro de 2026: os ataques estão aumentando. A Wordfence agora relata quase 59.000 tentativas bloqueadas em 24 horas contra os arquivos temporários de instalação em wp-content/upgrade/ (contra 18.500 nas primeiras 21 horas). Ainda nenhuma invasão confirmada. Se um site de cliente ainda não está na 7.1.4 ou no backport do seu ramo, atualize hoje e feche a pasta upgrade no servidor; não espere até segunda-feira.

O WordPress 7.1.4 saiu em 28 de outubro de 2026 como release de segurança. Ele corrige 22 vulnerabilidades em 17 avisos, e as mesmas correções foram levadas para cada ramo suportado até a 4.7.39. Uma delas é incomum: uma falha no próprio processo de atualização do núcleo, sem necessidade de login. É difícil de explorar, mas os atacantes começaram a procurá-la em menos de um dia, e é o único problema desta release que um firewall em forma de plugin não consegue barrar. Veja o que isso significa para os sites de clientes que você mantém e o que fazer hoje.

O que foi corrigido

• Execução de código sem login durante uma atualização. Antes da 7.1.4, a pasta onde o WordPress extrai as atualizações, dentro de wp-content/upgrade/, tinha um nome previsível, e a limpeza removia o index.php que bloqueia a listagem do diretório. Um atacante que acertasse os poucos segundos em que uma atualização roda, num site onde essa pasta é acessível pela web, podia executar código. A Patchstack classifica a complexidade do ataque como alta e não considera a exploração prática. Como a cópia extraída não carrega os plugins do seu site, um plugin de firewall no nível do PHP não consegue bloquear essa requisição.
• XSS armazenado a partir de contas de Colaborador ou acima, principalmente na Interactivity API (7 dos 17 avisos) e em vários blocos do núcleo.
• Customizer: conjuntos de alterações não publicados podiam ser vistos por visitantes sem login.

Quem é afetado

Todo site numa versão abaixo da 7.1.4 ou abaixo do backport correspondente (7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14 e assim por diante, até a 4.7.39). Sites na 4.6 ou anterior não recebem nenhuma correção. Os problemas de XSS pesam mais em sites onde clientes, redatores ou autores convidados têm contas de Colaborador ou acima.

Verifique um site em dois minutos

1. Versão: no wp-admin vá em Painel → Atualizações, ou rode wp core version. Tudo abaixo da 7.1.4 (ou do backport do seu ramo) precisa da atualização.
2. Pasta upgrade: abra https://example.com/wp-content/upgrade/ numa janela privada. Um 403 ou 404 é o que você quer. Uma lista de arquivos ou uma página 200 vazia significa que a pasta é acessível pela web.
3. Contas: em Usuários, filtre por Colaborador, Autor e Editor. Remova as que ninguém usa.

O que fazer agora

1. Atualize o núcleo para a 7.1.4 ou o backport do seu ramo. Releases de segurança menores normalmente se instalam sozinhas; confira se isso aconteceu, porque hospedagens e alguns plugins desligam as atualizações automáticas do núcleo. Garanta antes um backup recente e confira depois a página inicial, um formulário e o checkout.
2. Bloqueie o acesso web à pasta upgrade no servidor web, não num plugin. No Apache, um arquivo .htaccess em wp-content/upgrade/ com Require all denied. No nginx, location ^~ /wp-content/upgrade/ { deny all; }. O WordPress continua gravando na pasta via PHP, então as atualizações continuam funcionando. Em hospedagem gerenciada onde você não pode mudar o servidor, peça à sua hospedagem.
3. Sites na 4.6 ou anterior: planeje agora a mudança para uma versão suportada. Não haverá correção para eles.

Atacantes estão procurando esta falha, mas nenhuma invasão bem-sucedida foi confirmada, então um site atualizado com a pasta upgrade fechada não precisa de restauração nem de troca de chaves só por causa desta release. Se você vir arquivos desconhecidos em wp-content/upgrade/ ou novas contas de administrador, trate como uma invasão: restaure a partir de um backup anterior ao aparecimento desses arquivos e depois troque senhas e salts. Nossa rotina para dia de vulnerabilidade tem todos os passos.

Como a Verploy ajuda

Cada atualização é verificada. As arriscadas são testadas primeiro numa cópia. O núcleo do WordPress sempre conta como arriscado: é testado numa cópia privada do site antes de o site no ar mudar e, se uma verificação falhar depois de ir ao ar, o site é revertido automaticamente. Backups noturnos criptografados na UE dão a você um ponto limpo para voltar, e vulnerabilidades conhecidas aparecem por site com link para a fonte.

Fonte: Patchstack, “WordPress 7.1.4 Security Release”, 28 de outubro de 2026, patchstack.com. Alerta de exploração da Wordfence, 29 de outubro de 2026, segundo SecurityOnline; número de 24 horas segundo CyberPress, 31 de outubro de 2026. Verificado em 31 de outubro de 2026.