O WordPress lançou em 28 de outubro de 2026 a versão 7.1.4, uma atualização de segurança que corrige uma falha no próprio mecanismo de atualização do sistema. No dia seguinte, a Wordfence, empresa que mantém um dos firewalls mais usados em sites WordPress, avisou que criminosos já estão tentando explorar a brecha. A falha está no núcleo do WordPress, então não depende de plugin nenhum: atinge da versão 4.7 até a 7.1.3.
Por que importa para você: se o site institucional ou a loja WooCommerce da sua empresa roda WordPress e ficou sem atualizar desde 28 de outubro, ele está exposto a um ataque que não exige login nem clique de ninguém. A atualização automática costuma resolver sozinha, mas a recomendação é conferir em vez de presumir.
O que o WordPress e a Wordfence divulgaram
- A correção principal trata de uma "condição de corrida" durante a atualização do núcleo que pode levar à execução remota de código, nas palavras do anúncio oficial do WordPress. A falha foi reportada pelo pesquisador Umut Bayram.
- Como funciona. Segundo a Wordfence, durante a atualização completa os arquivos novos são descompactados num diretório previsível dentro de
wp-content/upgrade, e esse pacote inclui o instalador. Quem acessar o instalador no momento certo pode chegar a rodar código PHP no servidor. Em laboratório, a janela durou só alguns segundos. - Nota alta. A Wordfence classificou a falha com nota 8,1 de 10 no padrão CVSS.
- Ataques em andamento. A Wordfence afirma que criminosos "já estão tentando explorar ativamente" a falha. A regra de bloqueio do firewall dela entrou no ar em 28 de outubro, às 20h30 (horário UTC), e o primeiro bloqueio veio 9 minutos depois. Nas primeiras 21 horas foram mais de 18.500 requisições contra os caminhos do instalador.
- Muitas correções de uma vez. A documentação da versão 7.1.4 informa 22 vulnerabilidades corrigidas nas versões 7.0 a 4.7, além de uma atualização dos certificados raiz usados pelo sistema.
- O que mudou no código. A correção tornou aleatório o diretório temporário, colocou uma proteção extra nesse diretório e impede que dados de configuração temporários sejam reaproveitados de forma insegura.
Quem já está protegido
As correções foram levadas para todos os ramos desde o 4.7. Pela lista da Wordfence, as versões corrigidas são: 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 e 7.1.4.
Se o seu site está numa dessas versões, ou numa mais nova do mesmo ramo, a falha está corrigida. Site em versão 4.6 ou anterior não recebe mais correção nenhuma e precisa ser migrado.
Um detalhe sobre o firewall gratuito
Quem usa a Wordfence nos planos pagos (Premium, Care e Response) recebeu a regra de bloqueio já em 28 de outubro. No plano gratuito, a regra só chega em 27 de novembro de 2026. A própria Wordfence lembra que o firewall não substitui a atualização: ele ganha tempo, mas quem fecha a porta é a versão nova do WordPress.
O que fazer agora
- Entre no painel do WordPress e vá em Painel, Atualizações. Confirme que o site está na 7.1.4 ou na versão corrigida do seu ramo.
- Se a atualização automática estiver desligada, atualize hoje. Faça um backup antes, mas não deixe para a semana que vem.
- Tem mais de um site? Confira um por um. É comum o site principal estar em dia e a landing page de uma campanha antiga estar parada há anos.
- Se o site ficou sem atualização desde 28 de outubro, peça para quem cuida dele verificar:
- acessos a arquivos PHP dentro de
wp-content/upgradenos registros do servidor; - usuários administradores que ninguém da equipe criou;
- plugins ou arquivos PHP que você não instalou.
- Rode uma varredura de segurança depois de atualizar, com o plugin que você já usa ou com a ferramenta da sua hospedagem.
- Quem usa Wordfence pode ativar a proteção estendida do firewall (Extended Protection), que a empresa recomenda para esse caso.
- Revise as senhas de quem tem acesso de administrador e ative a verificação em duas etapas, se ainda não tem.
O que ainda não se sabe
- A falha ainda não tem número de CVE confirmado. Um portal publicou um número, mas nem o WordPress nem a Wordfence citam código nenhum, então não reproduzimos.
- Até agora não há confirmação de site invadido por essa falha, nem no Brasil nem fora.
- Portais de segurança falam em cerca de 63 mil ataques bloqueados em 24 horas. Esse número não aparece no texto da Wordfence que conseguimos ler, que fala em mais de 18.500 requisições em 21 horas.
- A falha não está no catálogo de vulnerabilidades exploradas da CISA, o órgão americano de cibersegurança.
Onde a Oneck entra
Site parado é site esquecido, e site esquecido é o primeiro a cair. A frente de Software & Sistemas da Oneck Creative cuida de sites e lojas WordPress com atualização acompanhada, backup e monitoramento, para você não descobrir uma falha dessas pelo cliente que reclamou do site fora do ar. Se você não sabe em que versão o seu está, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: WordPress: WordPress 7.1.4 (28/10/2026); WordPress: documentação da versão 7.1.4; Wordfence: WordPress 7.1.4 security release (29/10/2026); THN, portal de segurança (30/10/2026); Techaeris (30/10/2026).