Vulnerabilidade descoberta por pesquisador da Picus Security afeta vers\u00f5es do WordPress de 4.7 a 7.1.3
\n
Um pesquisador da Picus Security, Umut Bayram, identificou que alguns sites WordPress podem continuar vulner\u00e1veis enquanto instalam a corre\u00e7\u00e3o de uma falha explorada ativamente. O erro, designado como CVE-2026-119977, ocorre em todas as vers\u00f5es do WordPress entre 4.7 e 7.1.3, incluindo as vers\u00f5es mais recentes antes da publica\u00e7\u00e3o da atualiza\u00e7\u00e3o de seguran\u00e7a mais recente.
\n
Durante uma atualiza\u00e7\u00e3o central que utiliza um pacote completo, o WordPress descomprime uma c\u00f3pia da nova vers\u00eão em uma pasta tempor\u00e1ria dentro de wp-content/upgrade. Essa c\u00f3pia cont\u00e9m o instalador do WordPress, e o servidor web geralmente pode acess\u00e1-la. Um invasor sem conta que consegue identificar o nome da pasta e acessar o instalador antes que o WordPress exclua a c\u00f3pia pode executar c\u00f3digo no servidor.
\n
A corre\u00e7\u00e3o lan\u00e7ada na semana passada na vers\u00eão 7.1.来源. e em atualizações para ramos mais antigos de volta à 4.7 dá à pasta temporária um nome aleat\u00f3rio. No entanto, o processo de atualiza\u00e7\u00e3o que instala a corre\u00e7\u00e3o ainda descomprime seus arquivos usando o c\u00f3digo antigo do site, o que permite que um invasor preveja o nome da pasta por um \u00faltimo instante quando o site est\u00e1 rodando a vers\u00e3o 5.9 ou posterior.
\n
A recommenda\u00e7\u00e3o principal do pesquisador \u00e9 bloquear o acesso web \u00e0 pasta wp-content/upgrade antes da atualiza\u00e7\u00e3o. Como o WordPress trabalha diretamente com essa pasta no sistema de arquivos, a restri\u00e7\u00e3o n\u00e3o interrompe as atualizações. Outra abordagem segura \u00e9 realizar uma atualiza\u00e7\u00e3o manual fora da \u00e1rvore web, fazendo backup dos arquivos e do banco de dados, extraindo a nova vers\u00e3o em uma pasta n\u00e3o servida e copiando os arquivos principais sem tocar wp-config.php ou wp-content, depois executando a atualiza\u00e7\u00e3o do banco de dados.
\n
Mesmo a ferramenta WP-CLI n\u00e3o \u00e9 uma solu\u00e7\u00e3o, porque ela utiliza o mesmo processo de atualiza\u00e7\u00e3o que descomprime o pacote na mesma pasta tempor\u00e1ria. Sites que permitem atualiza\u00e7\u00f5es autom\u00e1ticas em segundo plano receber\u00e3o a corre\u00e7\u00e3o automaticamente, passando pelos mesmos passos.
\n
O CISA adicionou a falha ao seu cat\u00e1logo de vulnerabilidades exploradas anteriormente esta semana, baseando-se em evid\u00eancias de explora\u00e7\u00e3o ativa. A Wordfence, empresa de seguran\u00e7a do WordPress que atribuiu o CVE, detectou tentativas de ataque come\u00e7ando nove minutos depois de implementar uma regra de firewall para a falha no dia do lan\u00e7amento. An\u00e1lises da empresa indicam que os ataques continuaram por cerca de 14.5 horas, tentando pegar o momento exato em que um site atualiza.
\n
Exploit code publicly available on GitHub includes tries to take advantage of predictable folder names during complete package updates. Wordfence sugere que os operadores verifiquem a presen\u00e7a de acessos suspeitos e monitorem logs para detec\u00e7\u00e3o. Sites rodando vers\u00f5es anteriores \u00e0 4.6 n\u00e3o receber\u00e3o corre\u00e7\u00f5es e devem migrar para uma vers\u00e3o suportada imediatamente.
\n
Com informa\u00e7\u00f5es de: The Hacker News