120. Mais de 3000 relatórios de segurança em 2026

Durante uma década, o programa do WordPress na HackerOne recebeu entre 20 e 30 relatórios por mês; este ano, já ultrapassou os 3000, mais do que nos doze anos anteriores juntos.

Transcrição do programa

Olá, sou José Freitas e estás a ouvir o WPpodcast, com as notícias semanais da comunidade WordPress.

Neste episódio, encontras a informação de 26 de outubro a 1 de novembro de 2026.

Dois meses depois do lançamento da Core Security Initiative, a equipa de segurança faz um balanço com números que ajudam a perceber por que razão temos visto tantas correções seguidas. Durante uma década, o programa do WordPress na HackerOne recebeu entre 20 e 30 relatórios por mês; em julho, recebeu 450, em agosto, 773, e este ano já ultrapassou os 3000, mais do que nos doze anos anteriores juntos.

Grande parte destes resultados vem de investigação acelerada por ferramentas de IA, o que torna o WordPress mais seguro, mas obriga a acelerar tudo o que se segue:

• triagem,
• correção,
• adaptação das correções a versões anteriores,
• testes e publicação.

É por isso que houve quatro versões de segurança em 41 dias, da 7.1.1 à 7.1.4, e sete desde meados de julho, com mais de 50 vulnerabilidades críticas ou de gravidade elevada corrigidas. Todas as correções foram aplicadas a todos os ramos de versões com suporte, até à 4.7.

Cada lançamento tem uma equipa fixa de pessoas de confiança, com funções bem definidas, e é disponibilizado em duas fases, para proteger primeiro as versões mais utilizadas. As tarefas mais demoradas estão a ser automatizadas: a adaptação das correções a versões anteriores, que chegava a ser feita manualmente em 25 ramos, faz parte de um processo em que 73% dos 109 passos de um lançamento de segurança estão agora automatizados, com ferramentas abertas.

Algumas restrições são mantidas de propósito, como limitar a um pequeno grupo a possibilidade de preparar os pacotes de lançamento, para prevenir ataques à cadeia de fornecimento de software.

Este ano, foram encerrados quase 3000 relatórios, e a fila dos que aguardavam triagem passou de 359 para menos de uma centena. A equipa reorientou as suas ferramentas para encontrar vulnerabilidades no núcleo do WordPress antes de serem comunicadas, recorrendo a modelos com pesos abertos e a ambientes de teste personalizados.

O WordPress aderiu também ao OSS Scanner da Anthropic, que oferece análises gratuitas a projetos de código aberto. Os primeiros resultados já estão a ser analisados, e a Anthropic já aparece nos agradecimentos dos anúncios de lançamento.

WordPress 7.1.4 é a quarta versão de segurança em 41 dias

O WordPress 7.1.4 é a quarta versão de segurança em 41 dias, a mesma que foi referida no balanço da Core Security Initiative, e traz uma longa lista de correções.

A mais grave é uma falha no processo de atualização que poderia permitir a execução remota de código durante o período em que uma atualização está a ser aplicada. As restantes são, sobretudo, vulnerabilidades de XSS persistente:

• através de código de blocos manipulado,
• na atualização seletiva do Personalizador,
• nos blocos Categorias, Lista de reprodução, Imagem e paginação de comentários,
• nos pedidos de apagamento de dados pessoais e
• em nomes de utilizador manipulados.

Há ainda várias na Interactivity API, além de uma vulnerabilidade de negação de serviço persistente nessa mesma API. Foram também corrigidas duas falhas de acesso:

• os rascunhos dos conjuntos de alterações do Personalizador podiam ser consultados sem autenticação,
• e as Notas podiam ser lidas por utilizadores com permissões, mas sem acesso à edição do artigo.

Os certificados raiz incluídos no WordPress foram igualmente atualizados.

Como sempre, atualiza de imediato. As correções foram adaptadas às versões anteriores, até à 4.7, e esta é uma versão de ciclo curto: a próxima versão principal continua a ser a 7.2, prevista para 8 de dezembro. O anúncio não apresenta identificadores CVE nem números totais, e a página do HelpHub fornece mais pormenores.

Entretanto, a versão 7.2 continua a avançar: à Beta 2 já seguiu uma Beta 3, com todas as correções da 7.1.4 que lhe são aplicáveis. A segunda beta continua a aperfeiçoar a versão, sem alterações ao calendário nem grandes novidades:

• prossegue o trabalho na Abilities API, com consultas de conteúdo, requisitos de permissões e melhorias nos esquemas e nas permissões;
• chegam funcionalidades de registo do lado do servidor para DataViews e DataForm;
• e continuam os ajustes à flexibilidade da REST API, ao carregamento de recursos em computadores e à transição para ícones SVG.

O sistema unificado de notificações

O Feature Notifications, o projeto que pretende dotar o WordPress de um sistema unificado de notificações, já tem uma proposta de design que mostra como poderá funcionar, testada com todas as mensagens atualmente apresentadas pelo WooCommerce e pelo WooPayments, e uma demonstração interativa.

A ideia é ter um único sino de notificações para o site, disponível em toda a área de administração, dentro do editor e na parte pública do site, em vez de aparecer apenas em alguns ecrãs, como acontece com os avisos atuais. Ao abrir cada notificação, é possível perceber o assunto, quem a envia e qual o próximo passo. Os problemas que precisam de resolução mantêm-se no topo até serem resolvidos.

A segunda versão do protótipo centra-se nas regras que garantem uma apresentação e um funcionamento consistentes, independentemente de quem envia as notificações. Os plugins enviam dados, não definem o design, e escolhem entre quatro formatos. Cada notificação é caracterizada segundo cinco dimensões, entre as quais o tipo, a gravidade e o estado de leitura, cujos valores são definidos pelo núcleo do WordPress. Os avisos críticos são raros e bem visíveis: tornam o contador vermelho até serem resolvidos, não apenas até serem lidos. Há um separador de alertas e regras para evitar o excesso de notificações, como substituir ou agrupar mensagens repetidas e permitir desativar, de uma só vez, as sugestões e as ofertas.

Equipa de IA publica proposta

A equipa de IA do WordPress publicou uma proposta para permitir que qualquer pessoa gira o seu site com o agente de IA que preferir, sem ter de integrar um assistente no WordPress.

Milhões de pessoas já usam agentes para pesquisar, fazer compras ou gerir negócios, e vários produtos, plugins e ferramentas demonstraram que existe procura por esta forma de gerir sites. Abres o agente, pedes ajuda com o teu site, o agente identifica o WordPress e dá-te um link para autorizares o acesso, inicias sessão e está feito.

Atualmente, isso exige instalar e configurar o adaptador MCP, disponibilizar as funcionalidades adequadas e gerir a autenticação com palavras-passe de aplicação, com o risco de acabares por as colar em texto simples no agente, o que não é o ideal.

A abordagem tem quatro frentes coordenadas, aproveitando o ciclo do WordPress 7.2 para estabelecer as bases e apontando à versão 7.3 para a integração no núcleo.

1. A primeira é o adaptador MCP, que terá um desenvolvimento rápido para reforçar a fiabilidade e a segurança, com a intenção de propor a inclusão do MCP no núcleo na versão 7.3, seja integrado diretamente, seja distribuído de forma a poder evoluir separadamente.
2. A segunda é a Abilities API, com a definição de um conjunto básico de funcionalidades para tarefas comuns de gestão e a avaliação da possibilidade de algumas chegarem já na versão 7.2.
3. A terceira é a autenticação OAuth, para autorizar agentes sem gerar e partilhar palavras-passe de aplicação. Esta solução também beneficiaria a REST API e poderia recorrer à Secrets API da versão 7.2 para gerir tokens de forma segura.
4. A quarta é uma experiência de utilização completa, desde o momento em que o agente descobre o site até à gestão ou revogação de permissões.

Comunidade reconhece problema de privacidade

A equipa de Comunidade reconheceu um problema de privacidade nas páginas dos bilhetes dos eventos: entre 20 de maio de 2025 e 28 de outubro de 2026, algumas pessoas que tinham escolhido não aparecer na lista pública de participantes acabaram por aparecer.

A página de edição do bilhete mostrava “Sim” na pergunta sobre a inclusão na lista, mesmo quando a resposta tinha sido “Não”. Ao guardar a página, por exemplo para alterar um nome, a resposta passava para “Sim”. Foram apresentados nomes e Gravatars e, em alguns eventos, links para sites ou perfis de redes sociais e informações como a empresa ou o cargo. Segundo a análise realizada, não foram expostos endereços de email, números de telefone, moradas ou respostas sobre alimentação ou acessibilidade. Foram afetados cerca de 1280 bilhetes de 168 eventos, com o WordCamp Asia 2026, o WordCamp Europe 2026 e o WordCamp Dhaka 2025 a registarem os maiores números.

Como a resposta anterior não ficava registada, a equipa ocultou da lista todas as pessoas que poderiam ter sido afetadas, correspondentes a cerca de 8580 bilhetes, incluindo algumas que tinham efetivamente escolhido aparecer. O erro foi corrigido no próprio dia em que foi detetado. Será enviado um email aos organizadores e aos participantes de eventos futuros. Quem quiser voltar a aparecer na lista deve abrir o link no email do bilhete, selecionar “Sim” e guardar. Para questões relacionadas com dados pessoais, o contacto é dpo@wordpress.org.

Há também uma novidade mais agradável para quem organiza eventos: o CampTix passa a permitir o registo de entrada com códigos QR e a inclusão destes códigos nas credenciais. Cada participante recebe o seu próprio código, tanto no email como na página do bilhete. À entrada, o voluntário abre o endereço secreto num telemóvel, lê o código, confirma com “Sim” e a linha passa a verde. O leitor avisa se o bilhete foi reembolsado ou cancelado, se está pendente ou se já foi utilizado para registar a entrada. Se um código tiver sido partilhado, é possível emitir outro, invalidando o anterior.

bbPress com nova versão

A próxima versão do bbPress é, mais uma vez, dedicada à segurança e à manutenção. A versão 2.6.21 reforça o controlo de acesso nos feeds dos fóruns, nos resultados de pesquisa, na atividade do BuddyPress, nos fóruns de grupos, nos pedidos de acesso a anexos, na movimentação de tópicos e nos redirecionamentos de tópicos e respostas antigos. As palavras-passe dos fóruns herdadas de versões anteriores passam a ser aplicadas de forma consistente quando o WordPress apresenta o conteúdo de tópicos e respostas, e os pedidos de moderação enviados ao Akismet têm de usar HTTPS.

Na manutenção, foram melhoradas as consultas que determinam a atividade mais recente dos fóruns e a contagem de elementos subordinados. Os metadados são preservados quando uma consulta à base de dados falha, e as datas originais e o conteúdo das revisões são mantidos durante a moderação e a edição. São também corrigidos elementos de lista simples sem uma lista envolvente no WordPress 6.9 e posteriores, os excertos gerados são preservados sem duplicar conteúdo, é adicionada a relação ugc aos links de tópicos e respostas, e os ícones da administração são atualizados para o WordPress 7.2 e posteriores, acompanhando a transição de Dashicons para SVG.

Vídeos das sessões do WordPress Day for AI Faro 2026 já disponíveis

A organização do WordPress Day for AI Faro 2026 publicou, na última semana, o artigo de encerramento do evento, fazendo o balanço bastante positivo e revelando as ligações para os vídeos das apresentações e as fotos oficiais.

Por fim, este podcast é distribuído sob uma licença Creative Commons, como uma versão derivada do podcast em espanhol. Encontras todos os links para mais informações, bem como o podcast noutros idiomas, em WPpodcast .org.

Obrigada por ouvires e até ao próximo episódio.