A CISA incluiu a CVE-2026-119977 no catálogo de vulnerabilidades com exploração conhecida em 3 de novembro de 2026. A falha está no WordPress Core, o núcleo do sistema, e pode permitir execução de código no servidor sem autenticação durante uma atualização completa.
Para o provedor que mantém sites ou portais em WordPress, ou oferece hospedagem com essa plataforma, o alerta pede conferir as instalações e como elas são atualizadas. A versão 7.1.4, publicada em 28 de outubro, corrige o problema. Existem também correções para ramos anteriores, que precisam ser verificadas individualmente.
O risco aparece na janela de atualização
Segundo a ficha técnica da Wordfence, a vulnerabilidade envolve caminhos temporários previsíveis e acessíveis pela web usados na atualização do pacote completo do Core. O ataque depende de alcançar essa janela. A falta de autenticação exigida para a exploração não significa que basta visitar qualquer página de qualquer instalação WordPress para executar código.
Essa condição merece atenção na preparação da mudança, mas não é motivo para abandonar as atualizações de segurança. O WordPress recomenda instalar a correção imediatamente. Cabe ao responsável técnico combinar urgência, método de atualização adequado ao ambiente e validação do resultado.
A inclusão no catálogo confirma exploração conhecida da falha. Não demonstra, sozinha, que um site específico do ISP foi invadido nem que equipamentos de rede estejam afetados.
Confira o ramo e a versão corrigida
Na série 7.1, a ficha técnica aponta como afetadas as versões 7.1.0 a 7.1.3 e como corrigida a 7.1.4. Na série 7.0, o intervalo afetado vai de 7.0.0 a 7.0.7, com correção na 7.0.8.
A documentação oficial também lista, entre outras, as versões corrigidas 6.9.11, 6.8.12, 6.7.11 e 6.6.11. Os demais ramos contemplados, até o 4.7, têm seus próprios números de correção. Portanto, comparar apenas se a versão é menor que 7.1.4 pode gerar uma conclusão errada.
O WordPress ressalva que somente a versão mais recente tem suporte ativo. As correções oferecidas a ramos antigos não transformam essas linhas em uma escolha de longo prazo. A documentação informa ainda que a série 4.6 e anteriores já não recebem atualizações de segurança.
O que organizar no provedor
Como roteiro editorial de resposta, a equipe de TI ou o prestador responsável pode reunir:
- A lista de sites, subdomínios e instalações WordPress sob sua administração, com responsável e empresa de hospedagem.
- O ramo e a versão efetivamente instalados, além da evidência de correção aplicável. Um aviso de atualização automática habilitada não comprova que a instalação terminou.
- O método de atualização, as condições de exposição durante a operação e a confirmação de backup recuperável antes da mudança.
- O resultado da atualização e dos testes das funções utilizadas pelo negócio, como formulários, atendimento e integrações.
- Os registros relevantes para investigar sinais de comprometimento, preservando evidências quando houver suspeita.
Se o serviço estiver a cargo de uma empresa de hospedagem, a solicitação útil é uma confirmação específica da versão e da conclusão da correção em cada instalação, conforme as responsabilidades contratadas. O aviso geral de manutenção do fornecedor não substitui essa identificação.
A entrada da CISA marca a triagem forense como exigida conforme os requisitos federais aplicáveis. Para a operação do ISP, isso reforça uma distinção prática: instalar a correção e investigar um possível comprometimento são trabalhos diferentes. Suspeitas devem seguir o processo de resposta a incidentes, sem assumir que a atualização elimina efeitos de uma invasão anterior.
O prazo dos Estados Unidos não é prazo brasileiro
O catálogo indica 6 de novembro de 2026 como data de remediação e remete à BOD 26-04. O comunicado oficial da CISA apresenta essa diretiva como obrigação de conformidade para agências federais dos Estados Unidos.
Essa data não cria, por si só, um prazo regulatório para provedores brasileiros. A prioridade local deve considerar exposição, relevância do serviço e evidência de exploração. A recomendação do fabricante já é de correção imediata, e esperar pelo prazo estrangeiro não oferece uma garantia de segurança.
Este alerta trata da CVE no WordPress Core. A equipe deve manter separada a verificação de plugins, temas, PHP e sistema operacional: a correção de uma dessas camadas não comprova a correção das demais.
