A Agência de Cibersegurança e Infraestrutura dos EUA (CISA) emitiu um alerta urgente para agências federais sobre a detecção de exploração ativa de uma vulnerabilidade de alta gravidade no sistema de gerenciamento de conteúdo WordPress. A falha, identificada como CVE-2026-119977, enquadra-se na categoria de "execução remota de comandos" (RCE), concedendo aos atacantes a capacidade de assumir o controle de servidores alvo.
Esta vulnerabilidade surge de uma falha técnica conhecida como "condição de corrida" (Time-of-check Time-of-use - TOCTOU) dentro do processo de atualização do núcleo do WordPress. Os atacantes exploram caminhos temporários acessíveis via web durante o processo de atualização completa dos pacotes do sistema, o que lhes permite executar códigos maliciosos em um ambiente de alta complexidade.
Movimentações oficiais e escalada de ataques
Com base nesta ameaça, a CISA incluiu a vulnerabilidade no catálogo de "Vulnerabilidades Exploradas Conhecidas" (KEV) e emitiu uma diretriz vinculativa (BOD 26-04) que obriga as agências civis federais a protegerem seus sistemas até a próxima sexta-feira. Embora esta ordem seja vinculativa apenas para entidades governamentais dos EUA, a agência instou administradores de rede no setor privado globalmente a priorizarem a atualização de seus sistemas imediatamente.
Dados de campo indicam o volume crescente do ataque; a empresa de segurança Wordfence informou que conseguiu bloquear mais de 13.095 ataques direcionados a esta vulnerabilidade em apenas 24 horas após a detecção da atividade.
O que muda na prática?
O perigo real desta vulnerabilidade reside na sua capacidade de contornar barreiras de segurança tradicionais; os atacantes podem executar comandos sem a necessidade de possuir quaisquer contas ou privilégios de acesso prévios no site. Além disso, a exploração da "janela de atualização" torna difícil detectar atividades suspeitas, pois ocorre durante um processo de manutenção rotineira do sistema.
Esta ameaça surge em um contexto de uma onda de vulnerabilidades que visaram o WordPress recentemente, como a série de falhas wp2shell que foi explorada em setembro passado para roubar dados de mais de 18.500 registros pertencentes a pequenas empresas e organizações governamentais. Para evitar esses riscos, todos os administradores de sites devem atualizar imediatamente para a versão WordPress 7.1.4 ou qualquer versão posterior que inclua as correções de segurança.