CVE-2026-87902 no WordPress: como atualizar e verificar o site

Resposta rápida

Se o site usa WordPress, instale imediatamente a versão 7.1.2 ou a atualização de segurança indicada para a linha antiga. A CVE-2026-87902 é uma falha crítica de travessia de caminho na resolução de templates de página. Um atacante sem autenticação pode, sob determinadas condições do servidor e do tema ativo, incluir um arquivo PHP local legível e chegar à execução remota de código.

O WordPress publicou a correção em 22 de setembro de 2026 e recomenda atualização imediata. A Cloudflare anunciou em 25 de setembro uma proteção emergencial no WAF para o padrão conhecido, mas essa camada não corrige os arquivos do WordPress, não cobre acesso direto à origem e não remove eventual persistência deixada antes do bloqueio.

Quem está afetado e qual versão instalar

A documentação oficial marca como afetadas as linhas do WordPress 7.0 até 4.7 e oferece uma versão corrigida para cada uma. Na linha atual, a correção é o WordPress 7.1.2. Entre os backports estão 7.0.6, 6.9.9, 6.8.10, 6.7.9, 6.6.9 e versões específicas para as demais linhas até 4.7.37. WordPress 4.6 e anteriores não recebem essa atualização de segurança.

Use a tabela oficial da versão 7.1.2 para identificar o backport exato, mas trate-o como medida temporária. O projeto ressalta que apenas a versão mais recente do WordPress é ativamente suportada. Se a hospedagem, o PHP, o tema ou um plugin impede a atualização para a linha atual, registre essa incompatibilidade e planeje sua remoção em vez de permanecer indefinidamente em software antigo.

Como confirmar a versão real

Não suponha que a atualização automática terminou. Abra Painel > Atualizações e confira a versão exibida na instalação que realmente atende o domínio. Em ambientes com acesso ao terminal e WP-CLI, wp core version mostra a versão instalada; wp core check-update ajuda a identificar atualização disponível.

Em sites com mais de um nó, imagem de contêiner ou cache de deploy, confirme todos os servidores e o artefato publicado. Um painel atualizado em homologação ou em uma instância administrativa não prova que cada nó de produção recebeu os mesmos arquivos.

• Identifique o domínio, a instalação e todos os nós que atendem produção.
• Confirme a versão no Painel > Atualizações ou com wp core version.
• Compare o resultado com a tabela oficial de versões corrigidas.
• Verifique se a origem pode ser acessada sem passar pela CDN ou pelo WAF.
• Registre tema ativo, versão do PHP e plugins críticos antes da manutenção.

Como atualizar com segurança

Faça backup verificável do banco de dados e dos arquivos antes da mudança. O procedimento oficial recomenda o botão Atualizar agora em Painel > Atualizações para a maioria dos sites. Em uma operação controlada com WP-CLI, wp core update executa a atualização disponível; depois, confira novamente a versão e conclua qualquer atualização de banco solicitada pelo WordPress.

Teste login, publicação, formulários, busca, checkout e integrações essenciais. Limpe os caches apenas depois que os arquivos corrigidos estiverem em todos os nós. Se a atualização automática falhou, use o processo manual oficial e preserve wp-content e wp-config.php conforme as instruções, em vez de substituir toda a instalação sem revisar o procedimento.

• Faça backup do banco e dos arquivos e confirme que a restauração é possível.
• Atualize pelo Painel > Atualizações ou pelo método de implantação controlado do ambiente.
• Confirme a versão corrigida em cada nó de produção.
• Atualize o banco quando solicitado e limpe caches de aplicação, CDN e opcode.
• Teste os fluxos essenciais e monitore erros do servidor após a mudança.

Cloudflare WAF ajuda, mas não encerra a correção

A liberação emergencial da Cloudflare adiciona defesa para a CVE-2026-87902 no conjunto gerenciado do WAF. Se o domínio usa o serviço, confirme que o Cloudflare Managed Ruleset está implantado, que a ação esperada está ativa e que a origem não aceita tráfego direto que contorne a borda.

O WAF compara requisições com sinais conhecidos. Variações de ataque, rotas internas, outro proxy e acesso direto podem escapar dessa camada. Ele também não muda /wp-includes/template.php no servidor. A sequência segura continua sendo atualizar o WordPress, revisar exposição da origem e usar o WAF como defesa adicional.

O que verificar se houver suspeita de exploração

A falha pode levar a execução de código somente quando as condições necessárias do servidor e do tema estão presentes. Estar em uma versão vulnerável demonstra exposição potencial, não confirma invasão. Da mesma forma, ausência de alerta no WAF não comprova que nenhuma requisição chegou à origem.

Se houver arquivos PHP inesperados, alterações no core, administradores desconhecidos, tarefas agendadas novas, processos incomuns ou acessos anormais, isole a instância e preserve os logs. Compare o core com uma distribuição oficial, revise logs do servidor web, PHP, autenticação, CDN e hospedagem, e reconstrua a partir de uma base limpa e corrigida quando houver comprometimento confirmado.

• Preserve logs, imagem do servidor e horários antes de remover arquivos suspeitos.
• Revise usuários administradores, plugins, temas, mu-plugins e tarefas agendadas.
• Compare arquivos do core com a versão oficial e investigue PHP em locais inesperados.
• Rotacione senhas, chaves e tokens depois de corrigir ou isolar a instalação vulnerável.
• Se a invasão for confirmada, restaure ou reconstrua a partir de uma base confiável e já corrigida.

Por que o site pode falhar depois da atualização

Uma falha após o patch costuma apontar para incompatibilidade de tema ou plugin, permissões de arquivos, atualização incompleta em um dos nós ou cache antigo. Consulte primeiro os logs e a tela de integridade, desative somente o componente identificado em homologação e evite reverter o core para uma versão vulnerável apenas para recuperar disponibilidade.

Se o painel ficar preso em modo de manutenção, siga a orientação oficial para uma atualização que falhou. Um HTTP 500 ou 503 após a mudança não significa que a CVE continua explorável; significa que o ambiente precisa de diagnóstico. Consulte também o status da hospedagem e da CDN antes de atribuir todo erro ao WordPress.

Limites deste diagnóstico

Este guia foi verificado em 25 de setembro de 2026 nas páginas oficiais do WordPress, no advisory do projeto e no comunicado da Cloudflare. Versões, regras gerenciadas e orientações podem mudar; confira as fontes antes de atuar em produção.

Um verificador público consegue testar DNS, HTTPS e resposta HTTP, mas não enxerga com segurança a versão interna, os arquivos implantados ou os logs. Não exponha a versão do WordPress nem tente explorar o site para provar a correção. A evidência principal é a versão corrigida no artefato de produção, acompanhada de testes e revisão de registros.

Próxima ação útil

Abra agora a página oficial da versão 7.1.2, compare sua instalação com a tabela de correções e faça backup. Atualize primeiro o core, confirme todos os nós e depois teste os fluxos essenciais. Se houver sinais de invasão, preserve evidências e trate o caso como incidente, sem confiar apenas no WAF ou na troca de um arquivo.

Depois da manutenção, execute o diagnóstico web do domínio para confirmar DNS, HTTPS e resposta HTTP. Esse teste ajuda a validar disponibilidade externa, mas mantenha separada a comprovação interna da versão e da integridade do servidor.

Fontes consultadas

Os links abaixo servem para conferir conceitos, orientações oficiais e o critério editorial usado neste conteúdo.

• WordPress 7.1.2 ReleaseWordPress.org
• Version 7.1.2WordPress Documentation
• Unauthenticated path traversal in page-template resolutionWordPress Security Advisory
• Updating WordPressWordPress Documentation
• wp core updateWP-CLI
• WAF Release: 2026-09-25 EmergencyCloudflare Changelog
• CVE-2026-87902 recordCVE Program