O WordPress lançou a versão 7.1.4, uma atualização de segurança que corrige 22 vulnerabilidades — algumas presentes no núcleo do sistema desde a versão 4.7, lançada em 2016.
A falha mais grave: no próprio processo de atualização
A pesquisadora de segurança Umut Bayram identificou uma condição de corrida (race condition) no processo de atualização do núcleo do WordPress que, sob certas condições, pode permitir execução remota de código (RCE) — o tipo de falha que, dependendo do nível de acesso do atacante, pode ir do roubo de dados à tomada completa do site. O anúncio oficial, propositalmente, não detalha as condições de servidor ou de acesso necessárias para explorá-la, numa tentativa de dificultar a exploração antes que os sites apliquem a correção.
As demais correções
Outras vulnerabilidades corrigidas afetam a Interactivity API, blocos, o Customizer e interfaces administrativas — algumas envolvendo divulgação não autorizada de informação. Em geral, essas exigem acesso de nível Contribuidor ou superior para serem exploradas, o que reduz (mas não elimina) o risco prático. O fato de vulnerabilidades datarem de versões tão antigas reflete o quanto alguns desses componentes são centrais na arquitetura do WordPress.
Visão Estratégica da Web Estratégica
- Incluir a atualização para a versão 7.1.4 (ou superior) como item obrigatório de checagem técnica imediata para todo cliente em WordPress — a falha no processo de atualização é grave o suficiente para justificar prioridade alta, mesmo sem detalhes públicos de exploração.
- Revisar permissões de usuários com nível Contribuidor ou superior nos sites de clientes, já que boa parte das vulnerabilidades corrigidas depende desse nível de acesso para ser explorada.
- Usar o episódio para reforçar, na rotina de homologação técnica, a prática de aplicar atualizações de segurança do core assim que lançadas — não apenas de plugins de terceiros.
