Tronlar
Beta
Verificación en dos pasos activada
Usuário com poucas negociações! Use sempre o saldo do ForoBeta!
⚠️ WordPress sob ataque: quase 63.000 tentativas de explorar uma falha de RCE do Core em 24 horas
Olá,
Caso alguém tenha sites em WordPress, fiquem atentos a isso porque é bem recente e desta vez não estamos falando de um plugin vulnerável, e sim de uma falha no próprio WordPress Core.
O WordPress publicou no último 28 de outubro a versão 7.1.4 como atualização de segurança. Entre os problemas corrigidos há uma vulnerabilidade no processo de atualização do Core que pode chegar a permitir execução remota de código (RCE).
O preocupante é que os atacantes não demoraram muito para começar a testá-la.
Segundo o Wordfence, nas últimas 24 horas foram bloqueadas 62.969 tentativas de ataque relacionadas a esta vulnerabilidade.
🔴 Quais versões são afetadas?
A falha afeta as versões do WordPress da 4.7 até a 7.1.3.
A correção está incluída em:
WordPress 7.1.4
O WordPress também está levando as correções de segurança para ramos antigos que ainda podem recebê-las, embora o WordPress.org lembre que somente a versão mais recente tem suporte ativo.
Então a primeira coisa que eu faria seria entrar no seu WordPress e verificar a versão.
Inserir CODE, HTML ou PHP:
Escritorio → ActualizacionesSe vocês estiverem com o WordPress 7.1.4 pendente, eu atualizaria o quanto antes.
Se vocês tiverem as atualizações automáticas ativadas, é possível que já tenha sido instalada, mas também não custa nada verificar.
🧨 Em que consiste a falha?
A vulnerabilidade é bem curiosa porque o ataque tem que acontecer justamente enquanto o WordPress está sendo atualizado.
Quando o WordPress faz uma atualização completa do Core, ele descompacta temporariamente arquivos da nova versão dentro de:
Inserir CODE, HTML ou PHP:
wp-content/upgrade/O problema é que as versões vulneráveis podiam usar um caminho temporário previsível e, em determinados servidores, esse local podia ser acessível pela Internet.
Essa cópia temporária também inclui arquivos do instalador do WordPress.
Um atacante sem estar autenticado pode fazer requisições continuamente tentando acessar o instalador justamente durante os poucos segundos em que o WordPress está fazendo a atualização.
Se ele conseguir acertar essa pequena janela e as condições necessárias no servidor forem atendidas, pode interagir com essa instalação temporária e chegar a executar código PHP no servidor.
É o que se conhece como race condition.
A janela normalmente dura apenas alguns segundos, mas os atacantes estão tentando resolver isso na força bruta: fazendo requisições sem parar durante horas, esperando coincidir com uma atualização.
Na verdade, o Wordfence observou algumas fontes atacando pequenos grupos de sites durante cerca de 14,5 horas seguidas.
🔎 Como posso verificar se tentaram explorá-la no meu site?
Se vocês tiverem acesso aos logs do servidor, podem procurar requisições para:
Inserir CODE, HTML ou PHP:
/wp-content/upgrade/Especialmente requisições a arquivos PHP dentro desse caminho.
Um dos arquivos que os atacantes estão tentando localizar é:
Inserir CODE, HTML ou PHP:
setup-config.phpSe vocês usam cPanel, Plesk ou algum painel de hospedagem que permita consultar os logs de acesso, podem procurar por:
Inserir CODE, HTML ou PHP:
wp-content/upgradeou:
Inserir CODE, HTML ou PHP:
setup-config.phpImportante: aparecerem requisições para esses caminhos não significa automaticamente que o seu site foi hackeado.
Neste momento há bots fazendo esse tipo de requisição em massa. Uma requisição bloqueada, um 403 ou um 404 pode ser simplesmente uma tentativa fracassada.
Além dos logs, o Wordfence recomenda verificar se apareceu algo estranho na instalação.
Eu verificaria:
- Usuários administradores que vocês não reconheçam.
- Plugins que vocês não se lembrem de ter instalado.
- Arquivos PHP novos ou modificados recentemente.
- Arquivos PHP suspeitos dentro de
wp-content/upgrade/. - Alterações inesperadas em arquivos do WordPress.
Por enquanto estão sendo observadas tentativas ativas de exploração, mas isso não significa que essas quase 63.000 requisições correspondam a 63.000 sites hackeados.
São tentativas de ataque, o que é bem diferente.
🛡️ O que faço se tenho WordPress?
O principal é bem simples:
Verificar se o WordPress está atualizado.
A versão 7.1.4 saiu em 28 de outubro justamente como atualização de segurança e o WordPress recomenda atualizar imediatamente.
Além disso, a 7.1.4 não corrige apenas este problema. A atualização inclui outras correções de segurança relacionadas a XSS, divulgação de informações, permissões e outros problemas do Core.
Se vocês administram vários sites WordPress, eu revisaria todos, porque sempre pode sobrar alguma instalação antiga esquecida.
E se algum esteve usando uma versão vulnerável, eu daria uma olhada nos logs procurando requisições a
wp-content/upgrade/ e revisaria administradores, plugins e arquivos PHP, caso haja algo que não deveria estar ali.📚 Fontes
WordPress.org — WordPress 7.1.4
https://wordpress.org/news/2026/10/wordpress-7-1-4/
Documentação oficial do WordPress — Version 7.1.4
https://wordpress.org/documentation/wordpress-version/version-7-1-4/
WordPress España — Atualização de segurança 7.1.4
https://es.wordpress.org/category/seguridad/
The Hacker News — WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours
https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
Desta vez não é o caso típico de um plugin abandonado ou com poucas instalações, e sim uma vulnerabilidade do próprio WordPress Core.
A boa notícia é que ela já foi corrigida.
Então, se vocês têm WordPress, verifiquem a versão e, se ainda estiverem em uma versão vulnerável, eu atualizaria o quanto antes.
Se alguém olhar seus logs e encontrar tentativas contra
wp-content/upgrade/ ou setup-config.php, seria interessante comentar o que está vendo.