A CISA, agência de segurança cibernética dos Estados Unidos, incluiu no seu catálogo KEV uma falha no WordPress Core, o sistema que sustenta o núcleo de muitos sites, identificada como CVE-2026-119977. A CVE é o código usado para catalogar falhas de segurança conhecidas.

A falha é uma condição de corrida do tipo TOCTOU (time-of-check time-of-use). Em termos simples, é como conferir que a porta está trancada e, no intervalo entre a conferência e a entrada, alguém trocar a fechadura. Segundo a fonte, ela aparece durante a atualização completa do núcleo do WordPress, quando os arquivos são preparados em caminhos previsíveis e acessíveis pela web.

Na prática, um atacante sem nenhum login poderia executar código no servidor durante essa janela de atualização. Quem administra sites em WordPress é quem mais precisa ficar atento, porque o problema afeta instalações do sistema que ainda não receberam a correção.

A recomendação da CISA é aplicar as mitigações indicadas pelo fabricante e seguir a orientação da diretiva BOD 26-04, que prioriza atualizações conforme o risco. A agência também cita a necessidade de avaliar a exposição de cada ativo à internet. Se as mitigações não estiverem disponíveis, a orientação é descontinuar o uso do produto. O prazo para os órgãos federais americanos vai até 6 de novembro de 2026.

Para quem administra um site em WordPress, o caminho mais seguro é atualizar o núcleo para a versão corrigida informada pelo fabricante e seguir as instruções oficiais do WordPress. Também vale manter os sistemas sempre atualizados.