A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) afirma que invasores estão explorando uma vulnerabilidade de alta gravidade no WordPress Core. A falha, identificada como CVE-2026-119977, pode permitir que agentes remotos não autenticados executem código em um servidor durante determinadas operações de atualização.
A vulnerabilidade decorre de uma condição de corrida entre verificação e uso, envolvendo caminhos de preparação previsíveis e acessíveis pela web, usados durante atualizações completas do pacote do núcleo do WordPress. A equipe de segurança do WordPress corrigiu o problema na versão 7.1.4, lançada em 28 de outubro, e recomendou que os operadores de sites atualizassem prontamente.
Na terça-feira, a CISA confirmou a exploração ativa e adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Conhecidamente Exploradas. Nos termos da Diretriz Operacional Vinculante 26-04, as agências civis do Poder Executivo federal foram instruídas a proteger seus sistemas até sexta-feira. A CISA também instou organizações do setor privado e outros defensores de redes a priorizarem a aplicação da correção.
A CISA não forneceu detalhes sobre os ataques. Em uma atualização de comunicado no fim de semana, a Wordfence afirmou ter bloqueado 13.095 tentativas de explorar a vulnerabilidade nas 24 horas anteriores.
Fontes: BleepingComputer.