O núcleo do WordPress recebeu, em 22 de setembro de 2026, uma correção de segurança crítica para a falha catalogada como CVE-2026-87902, uma vulnerabilidade de path traversal na função get_page_template() que permite a um atacante não autenticado incluir um arquivo .php local escolhido por ele, fora do diretório do tema ativo. Em servidores com determinadas condições de configuração (tema com diretório de nível superior iniciado por "page-" e a opção PHP register_argc_argv habilitada), a falha pode evoluir para execução remota de código.
A falha afeta praticamente toda a base histórica do WordPress: da versão 4.7.0 até a 7.1.1, ou seja, quase todos os sites que não aplicaram a atualização mais recente. O time do WordPress publicou correções para 18 ramos de versão diferentes (de 4.7.37 a 7.1.2), reconhecendo a gravidade e a abrangência do problema.
A exploração começou horas após a divulgação do patch. Segundo relatos técnicos, mais de 30 mil endereços IP passaram a sondar sites WordPress em busca da falha nos primeiros cinco dias, e agentes de ameaça já registraram tentativas de escrita de arquivos .php em diretórios temporários e execução de código em servidores vulneráveis. A CISA (agência de cibersegurança dos EUA) incluiu a CVE-2026-87902 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) em 25 de setembro de 2026, confirmando exploração ativa e generalizada.
Por que isso importa para uma PME brasileira: o WordPress é a plataforma mais usada para sites institucionais, blogs e lojas virtuais (via WooCommerce) de pequenas e médias empresas no Brasil. Como a falha não exige autenticação, qualquer pessoa na internet pode tentar explorá-la — não é preciso roubar senha nenhuma. Um site comprometido pode ser usado para distribuir malware a visitantes, redirecionar clientes para páginas fraudulentas, roubar dados de clientes e pedidos, ou simplesmente ser desfigurado, com impacto direto em reputação e nas posições de busca no Google (que costuma penalizar ou bloquear sites comprometidos). Como a varredura em massa já está em curso, manter uma versão desatualizada do WordPress deixou de ser um risco teórico e passou a ser um alvo ativo.
O que fazer agora: verifique a versão do WordPress do seu site (painel administrativo, em "Painel" > "Atualizações") e atualize imediatamente para 7.1.2 ou para a versão de manutenção mais recente do seu ramo (por exemplo, 6.9.9, 6.8.10 ou 4.7.37). A maioria dos provedores de hospedagem aplica atualizações de segurança automaticamente, mas isso deve ser confirmado, não presumido — fale com sua agência ou provedor de hospedagem hoje. Caso não seja possível atualizar de imediato, oriente o time técnico a bloquear sequências de path traversal (como "%2e%2e" ou "%252e%252e") no parâmetro de página e a desativar a opção register_argc_argv no PHP como mitigação temporária. Depois de atualizar, vale checar se há arquivos .php inesperados em diretórios temporários do servidor, sinal de que a falha já pode ter sido explorada antes da correção.
Fonte primária: aviso oficial de segurança do WordPress Core (GHSA-7hp8-65ch-5whp), com confirmação de exploração ativa pela inclusão no catálogo KEV da CISA em 25/09/2026.
