O levantamento semanal de vulnerabilidades do WordPress registrou, entre os dias 12 e 18 de outubro de 2026, a divulgação de 497 falhas de segurança encontradas em 327 plugins e 23 temas do WordPress. Os dados foram incorporados ao banco de vulnerabilidades da Wordfence Intelligence, que contou com a colaboração de 218 pesquisadores de segurança ao longo da semana. Por isso, administradores de sites que utilizam a plataforma são orientados a revisar a lista para verificar se algum dos componentes instalados está entre os afetados.
O que está por trás do levantamento de vulnerabilidades WordPress
A proposta da Wordfence Intelligence é tornar acessível, de forma gratuita, informações relevantes sobre falhas de segurança para toda a comunidade WordPress, permitindo que usuários e empresas adotem estratégias de segurança em camadas — um dos pilares da chamada defesa em profundidade. Dessa forma, tanto a interface do sistema quanto a API de vulnerabilidades e a integração via webhook continuam disponíveis sem custo, para uso pessoal ou comercial, o que sustenta a publicação deste relatório semanal.
Além disso, empresas, provedores de hospedagem e até usuários individuais podem acessar, pela API do banco de dados, um extrato completo com mais de 40 mil vulnerabilidades catalogadas. A integração via webhook, também gratuita, permite acompanhar em tempo real tanto os registros recém-adicionados quanto eventuais atualizações feitas na base.
Novas regras de firewall aplicadas na semana
A equipe de inteligência de ameaças avalia cada vulnerabilidade identificada para medir seu impacto, sua gravidade e a probabilidade de exploração, verificando ainda se o firewall oferece proteção adequada contra cada caso. Com base nessa análise, as seguintes falhas receberam regras de proteção em tempo real na última semana, beneficiando diretamente clientes dos planos Premium, Care e Response:
- WAF-RULE-966 – dados mantidos em sigilo enquanto se aguarda correção junto ao fornecedor;
- WAF-RULE-967 – dados mantidos em sigilo enquanto se aguarda correção junto ao fornecedor;
- Injeção de Objeto PHP em Comentários (PHP Object Injection in Comments).
Enquanto assinantes dos planos pagos recebem essa camada extra de proteção de forma imediata, os usuários da versão gratuita só terão acesso às mesmas regras após um prazo de carência de 30 dias.
Panorama de falhas corrigidas e sem correção
Do total de 497 vulnerabilidades mapeadas na semana, 428 já contam com patch de correção disponibilizado pelos desenvolvedores, enquanto 69 ainda permanecem sem solução oficial. Ou seja, a grande maioria dos casos já pode ser resolvida por quem mantém os plugins e temas atualizados, mas uma parcela relevante ainda representa risco ativo para os sites que utilizam esses componentes.
Gravidade e tipos de vulnerabilidade mais comuns
Com relação ao grau de severidade, segundo a métrica CVSS, a distribuição das 497 falhas ficou assim:
- Severidade baixa: 6 ocorrências;
- Severidade média: 315 ocorrências;
- Severidade alta: 153 ocorrências;
- Severidade crítica: 23 ocorrências.
Já em relação ao tipo técnico das falhas, classificadas por CWE, as mais frequentes foram a neutralização imprópria de entrada durante a geração de páginas web — o conhecido Cross-Site Scripting (XSS) —, com 159 casos, seguida pela ausência de autorização adequada (Missing Authorization), com 116 registros. Em seguida aparecem a injeção SQL, com 34 ocorrências, a desserialização de dados não confiáveis, com 33, e a exposição de informações sensíveis a atores não autorizados, com 31 casos. Outras categorias relevantes incluem gestão imprópria de privilégios (22), bypass de autorização por chave controlada pelo usuário (20), injeção de código (15), upload irrestrito de arquivos de tipo perigoso (11) e path traversal (10), entre falhas menos frequentes como CSRF, SSRF, redirecionamento aberto e condição de corrida.
Pesquisadores que colaboraram com a segurança do WordPress
Entre os 218 profissionais que contribuíram para o mapeamento das vulnerabilidades da semana, destacam-se o sistema automatizado Wordfence PRISM, responsável por 40 identificações, seguido por pesquisadores como johska (19), Peter Tang (16), Kuba (15), Jacek Sowiński, também conhecido como dzaku (13), Ananda Dhakal (11), nh4tvd e AndrewN (10 cada), além de Naoki Kawahigashi (9). Outros nomes que também contribuíram significativamente incluem Supakiad S. (m3ez), myhappyhoon e Ryan Fabella, cada um com 8 vulnerabilidades reportadas, seguidos por Usama Arshad, Enrico Marcolini e JunHee CHO, com 7 cada.
A lista de colaboradores segue extensa, somando dezenas de outros pesquisadores com contribuições entre 3 e 6 vulnerabilidades identificadas, o que reforça a dimensão coletiva do trabalho de monitoramento contínuo de falhas no ecossistema WordPress. Diante desse volume de registros, a recomendação segue a mesma de sempre: manter plugins, temas e o núcleo do WordPress atualizados é a medida mais eficaz para reduzir a exposição a riscos, especialmente diante de falhas críticas e de alta severidade ainda sem correção oficial.
Com informações de wordfence.com.
