Vulnerabilidade crítica no WordPress Core está sendo explorada ativamente

Uma falha de segurança no núcleo do WordPress (CVE-2026-119977) está sendo explorada em ataques reais, conforme confirmado pela agência de segurança dos EUA (CISA). A vulnerabilidade permite que invasores executem código arbitrário nos servidores sem precisar de login, aproveitando uma brecha durante o processo de atualização do sistema — quando arquivos temporários ficam acessíveis pela internet por um curto período. A Wordfence registrou mais de 18.500 tentativas de exploração nas primeiras 21 horas após o anúncio público.

O problema, classificado como TOCTOU (uma condição de corrida que explora o intervalo entre a verificação e o uso de um recurso), tem gravidade alta (8,1 no CVSS 3.1). Embora a exploração exija timing preciso, a falta de autenticação prévia amplia o risco — qualquer site WordPress exposto na internet pode ser alvo. Administradores precisam urgentemente verificar suas versões instaladas, aplicar a atualização de segurança correspondente e revisar os logs do servidor em busca de tentativas de ataque. Não basta atualizar plugins ou senhas: o problema está no WordPress Core.