Resumo
O WordPress lançou em 28 de outubro de 2026 a versão 7.1.4, uma atualização de segurança. A lista inclui uma falha no processo de upgrade que pode levar à execução remota de código, relatada por Umut Bayram, e vários casos de XSS armazenado. As correções foram levadas a ramos antigos, até a 4.7, e o WordPress 7.2 está previsto para 8 de dezembro.
WordPress lançou em 28 de outubro de 2026 a versão 7.1.4, uma atualização de segurança que corrige uma falha no processo de upgrade capaz de levar à execução remota de código. Para quem mantém um site na plataforma, a recomendação oficial é atualizar imediatamente, e os sites com atualização automática em segundo plano começam o processo sozinhos.
Falha no upgrade permite executar código remoto
A lista de correções abre com uma fraqueza no processo de atualização que pode levar à execução remota de código durante a janela do upgrade. O problema foi relatado por Umut Bayram. A nota oficial de lançamento, assinada por Aaron Jorbin, não traz detalhes técnicos, não cita número de CVE e não diz que condições o ataque exige.
O restante do pacote reúne falhas de XSS armazenado, em que um código malicioso fica gravado no site e roda no navegador de quem abre a página. Aparecem o bloco de Categorias, os blocos de Playlist e de imagem, os blocos de paginação de comentários, a atualização seletiva do Personalizador e nomes de usuário montados de forma especial. Duas dessas falhas foram relatadas pela Anthropic.
“Por se tratar de uma versão de segurança, recomenda-se atualizar os sites imediatamente”, escreveu Aaron Jorbin, autor do anúncio.
Correções chegam a versões antigas até a 4.7
Os reparos foram levados, como cortesia, a todos os ramos que ainda recebem correções de segurança, atualmente até a 4.7. Os backports seguem em andamento e saem conforme ficarem prontos. O WordPress lembra que só a versão mais recente tem suporte ativo, o que pesa para quem ainda roda ramos antigos.
Outros itens da lista incluem uma negação de serviço armazenada na Interactivity API, vários casos de XSS na mesma API, a leitura de rascunhos de mudanças do Personalizador por usuários sem login e a leitura de notas por usuários privilegiados sem acesso ao post. Entra ainda a atualização dos certificados raiz, por causa da revogação da eMudhra. A versão 7.2 está prevista para 8 de dezembro, e o beta do WordPress 7.2 já traz as correções.
O que você acha? Você já atualizou os seus sites para a versão 7.1.4? Para acompanhar mais, acesse nossa editoria de WordPress Estratégico e os vídeos do canal no YouTube.
Perguntas Frequentes
O que o WordPress 7.1.4 corrige e como atualizar o site?
WordPress 7.1.4 corrige falhas de segurança, entre elas uma fraqueza no processo de upgrade que pode levar à execução remota de código. Para atualizar, basta abrir o painel, entrar em Atualizações e clicar em Atualizar agora. Sites com atualização automática em segundo plano começam o processo sozinhos, sem nenhuma ação manual do responsável pelo site.
Quais versões do WordPress recebem as correções do 7.1.4?
WordPress levou as correções, como cortesia, a todos os ramos elegíveis a patches de segurança, atualmente até a 4.7. Os backports ainda estão em andamento e saem conforme ficarem prontos. A plataforma lembra que só a versão mais recente tem suporte ativo, então sites em ramos antigos pedem planejamento de migração para uma versão atual.
Quando sai o WordPress 7.2 e ele já tem as correções?
WordPress 7.2 está previsto para 8 de dezembro de 2026, segundo a nota oficial. A versão 7.2 Beta 3 já foi lançada e reúne todas as correções aplicáveis do pacote de segurança. A versão final ainda depende do ciclo de testes do beta, que segue aberto a quem quiser colaborar.