A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou uma vulnerabilidade do WordPress Core ao seu catálogo de Vulnerabilidades Conhecidamente Exploradas, citando evidências de que invasores a estão explorando ativamente. A falha, identificada como CVE-2026-119977, tem pontuação CVSS de 8,1.
A vulnerabilidade é uma condição de corrida de verificação do tempo de uso (TOCTOU) que pode permitir que invasores sem autenticação executem código nos servidores afetados durante uma atualização completa do pacote do Core. A CISA atribui o risco a caminhos de preparação previsíveis e acessíveis pela web, usados durante o processo de atualização. As correções foram lançadas no fim do mês passado.
A Wordfence informou anteriormente que a exploração da falha não exige uma conta no site, mas depende de os invasores alcançarem uma breve janela enquanto uma atualização completa do Core está em andamento. A empresa registrou mais de 18.500 solicitações direcionadas a caminhos de instalador “setup-config.php” em preparação nas primeiras 21 horas após a divulgação pública da vulnerabilidade. Também informou ter bloqueado 12.632 tentativas de ataque nas 24 horas anteriores à publicação de seu relatório.
A telemetria da Previdian registrou três tentativas de exploração contra seus sensores honeypot em 30 de outubro de 2026, provenientes de um endereço IP geolocalizado no Reino Unido. Após a confirmação da CISA, as agências do Poder Executivo Civil Federal têm até 6 de novembro de 2026 para aplicar as correções.
Fontes: The Hacker News.