Agentes de ameaça foram observados tentando explorar uma falha de segurança de alta gravidade no núcleo do WordPress pouco depois da liberação de patches.
A vulnerabilidade, que não tem identificador CVE, permite a execução remota de código e afeta as versões 4.7 a 7.1.3 do núcleo do WordPress. Ela recebeu pontuação 8,1 no sistema CVSS. Os patches foram liberados em 28 de outubro de 2026.
“Isso ocorre devido ao uso de caminhos previsíveis e acessíveis pela web para preparar atualizações completas do núcleo. Com isso, atacantes não autenticados podem executar código no servidor durante o processo de atualização”, afirmou a Wordfence.
A empresa de segurança especializada em WordPress observou que, para explorar a falha com sucesso, o “atacante precisa acertar uma janela muito curta, enquanto o WordPress descompacta uma atualização completa do núcleo”.
O problema está no fato de que as versões afetadas descompactam os novos arquivos de uma atualização completa do núcleo em um diretório previsível dentro de “wp-content/upgrade”. Essa cópia também inclui o instalador do WordPress.
“Como o diretório de preparação é acessível pela web em muitos servidores, um atacante não autenticado que acessar o instalador no momento exato poderá interagir com a cópia temporária do WordPress e avançar até a execução de código PHP”, afirmou Alex Thomas, líder da equipe de resposta a ameaças da Wordfence.
Um agente de ameaça que consiga vencer a condição de corrida pode obter a capacidade de executar código no servidor, desde que as seguintes condições sejam atendidas:
- Uma atualização completa que inclua os arquivos do instalador;
- Acesso público pela web e pelo PHP à árvore de diretórios de preparação;
- Um caminho de preparação previsível ou identificado; e
- Tempo suficiente para concluir o ataque antes que o WordPress remova os arquivos temporários.
Embora, em ambientes de laboratório comuns, essa janela tenha durado apenas alguns segundos, agentes de ameaça estão consultando repetidamente caminhos vulneráveis, como “setup-config.php”, na tentativa de explorar a falha. Nas últimas 24 horas, a Wordfence afirmou ter bloqueado 62.969 ataques direcionados à vulnerabilidade.
“Duas das maiores fontes consultaram repetidamente pequenos grupos de sites por cerca de 14,5 horas, comportamento compatível com uma tentativa de aproveitar a breve janela de atualização. Outras fontes testaram diversas variações de nomes de diretórios de preparação e de versões”, disse Thomas. “Nem todas as solicitações usaram o caminho vulnerável exato, mas as consultas persistentes e as tentativas com estruturas de diretório específicas mostram que os atacantes entenderam rapidamente a condição de corrida e começaram a explorá-la.”
Como as tentativas de exploração já estão em andamento, a recomendação é que os responsáveis por sites WordPress atualizem para a versão 7.1.4 o quanto antes. Também devem procurar solicitações suspeitas a arquivos PHP localizados em “wp-content/upgrade”, além de contas de administrador, plugins ou arquivos PHP desconhecidos.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...