No dia 17 de setembro de 2026, a equipa do WordPress lançou a versão 7.1.1, uma atualização de manutenção e segurança que corrige 11 vulnerabilidades, 17 defeitos no núcleo e 19 no editor de blocos. Menos de uma semana depois saiu a 7.1.2, desta vez para corrigir uma falha crítica no próprio núcleo, o CVE-2026-87902, um path traversal que em certas condições permite execução de código no servidor.
Duas atualizações de segurança em seis dias, uma delas crítica. Se o seu site é feito em WordPress, e a maioria dos sites de PME em Portugal é, vale a pena perceber o que está em causa e o que fazer.
Porque é que estas atualizações importam
O WordPress é a plataforma mais usada do mundo, e é precisamente por isso que é o alvo mais frequente de ataques automáticos. Quando uma vulnerabilidade é tornada pública através de uma atualização de segurança, os atacantes passam a saber exatamente o que procurar, e fazem varrimentos em massa à procura de sites que ainda não a instalaram.
Ou seja, a partir do momento em que a correção é publicada, um site que não a instale fica mais exposto do que estava na véspera. Não porque tenha mudado alguma coisa no site, mas porque a falha deixou de ser segredo.
Para uma PME, as consequências de um site comprometido são concretas: páginas a redirecionar para sites de terceiros, spam enviado a partir do seu domínio, formulários a recolher dados de clientes para outros, penalizações no Google e, no limite, o site fora do ar durante dias. Recuperar tudo isto custa quase sempre mais do que manter o site em dia.
Como atualizar com segurança
Atualizar o WordPress é simples, mas fazê-lo às cegas pode criar problemas. Seis passos:
Faça um backup completo antes de tudo. Ficheiros e base de dados. Se algo correr mal, este é o seu ponto de retorno. Confirme que o backup está guardado fora do próprio servidor. Verifique a compatibilidade do tema e dos plugins. Um site em Elementor ou WooCommerce deve ter esses plugins também atualizados para versões que suportem o WordPress 7.1.x. Atualize em horário de menor tráfego. Se tiver uma loja, evite fazê-lo em plena hora de compras. Atualize o núcleo, depois os plugins, depois o tema. Por esta ordem. Teste as páginas principais. Página inicial, formulários de contacto, finalização de compra, área de cliente. Um erro visível é melhor descoberto por si do que por um cliente. Confirme a versão instalada em Painel, Atualizações. Deve ler a versão mais recente.
Se o seu site tem atualizações automáticas ativas, estas podem já estar instaladas. Ainda assim, vale a pena confirmar e testar as páginas principais.
E os plugins, que são a maior parte do risco
Um dado importante: a maioria dos ataques a sites WordPress não explora o núcleo, mas sim plugins e temas desatualizados. A atualização do núcleo é essencial, mas não substitui uma rotina de manutenção que inclua todos os componentes do site.
Uma boa prática é rever, pelo menos uma vez por mês, a lista de plugins instalados: remover os que não são usados, atualizar os restantes e substituir os que já não recebem atualizações há mais de um ano.
Prefere não ter de pensar nisto
Na codenumber, o serviço de alojamento inclui exatamente aquilo que este artigo descreve: cópias de segurança automáticas, atualizações do WordPress, dos plugins e dos temas, e monitorização contínua do site. Quando sai uma atualização como estas, tratamos dela por si, com testes incluídos.
Quer saber como está o seu site antes de decidir seja o que for? Escreva o endereço em app.codenumber.pt/auditor e receba uma avaliação em sete pontos: velocidade, SEO, presença digital, parte técnica, telemóvel, segurança e acessibilidade. É gratuito e analisamos apenas o endereço que indicar.
Fontes:
WordPress 7.1.1 Maintenance and Security Release, WordPress.org, 17 de setembro de 2026 CVE-2026-87902 fixed in WordPress 7.1.2, Help Net Security, 23 de setembro de 2026