WordPress 7.0.3: 12 correções e qual delas é a sua

O que saiu hoje

O WordPress 7.0.3 foi publicado em 7 de agosto de 2026 como lançamento de segurança, com 12 vulnerabilidades corrigidas. A recomendação oficial é direta: atualizar imediatamente.

Até aí, é o que toda cobertura vai dizer. O que quase ninguém vai fazer é a parte útil — separar quais dessas 12 são realmente um problema para o seu site. Porque elas não são iguais: a maioria exige que o atacante já tenha uma conta no seu WordPress, e isso muda completamente o cálculo de urgência conforme o tipo de site que você opera.

A única que não exige conta nenhuma

É a que merece sua atenção primeiro: XSS refletido na tela de login, explorável antes da autenticação — registrado como CVE-2026-64638 (GHSA-52p2-r8wf-jcrf) e reportado pela equipe da pwn.ai.

Pré-autenticação significa que não é preciso ter conta, senha ou convite: a superfície é a página de login, que em praticamente todo site WordPress está exposta à internet. Se o seu site tem wp-login.php acessível — e ele tem —, essa é a linha do changelog que importa para você, independentemente de ter ou não outros usuários.

As oito que dependem de quem já tem conta

O grosso da lista são XSS armazenado exploráveis por quem tem papel de colaborador ou superior, espalhados por pontos diferentes do editor:

“Exige conta de colaborador” não quer dizer inofensivo — quer dizer que o risco depende de quem você deixa entrar. Num blog de autor único, é baixo. Numa revista com dez colaboradores externos, num site que aceita contribuição da comunidade ou numa agência que dá acesso a cliente, o cenário é outro: você tem exatamente o perfil de usuário que essas falhas pressupõem.

Triagem em trinta segundos

Como atualizar sem estragar o dia

Release de segurança do núcleo é dos updates mais seguros que existem: são correções pontuais, sem mudança de funcionalidade. Ainda assim, a ordem que evita susto é a de sempre.

# 1. Backup ANTES (arquivos + banco). Se não puder restaurar, não atualize.
# 2. Se tiver staging, aplique lá primeiro e abra 3 páginas: home, um post, o checkout.
# 3. Atualize: Painel > Atualizações > Atualizar agora
#    (ou WP-CLI)
wp core update --version=7.0.3
wp core verify-checksums

# 4. Confirme a versão REAL, não a que o painel diz
wp core version

O verify-checksums é o passo que quase todo mundo pula e é o que responde à pergunta certa: os arquivos do núcleo são mesmo os oficiais, ou alguém já mexeu neles antes de você atualizar?

Se você está numa versão antiga

Aqui vem a parte que costuma passar batido. As correções estão sendo portadas para todas as versões elegíveis a receber correção de segurança, atualmente até a 4.7. Ou seja: se você mantém um site travado numa versão antiga por causa de plugin ou tema legado, você ainda recebe o patch — não precisa saltar para a 7.0.3 de uma vez para deixar de estar exposto.

Isso não é permissão para ficar no legado. É a diferença entre atualizar hoje o que dá e adiar indefinidamente porque “a migração é grande”.

O que fazer depois de atualizar

Duas coisas que valem mais que o update em si, se você tem outros usuários no site. Primeira: revise quem ainda tem conta. Metade dessas falhas pressupõe um colaborador, e a maior parte dos sites carrega contas de gente que saiu há anos. Segunda: confira os papéis — é comum encontrar administrador onde bastava editor, e isso transforma uma falha de “colaborador ou superior” em algo bem pior.

Se quiser um contexto mais amplo de versões e do que vem a seguir, já escrevemos sobre o que muda com o WordPress 7.1. E para o lado dos plugins, que é de onde vem a maioria dos incidentes reais, vale o caso do Kirki e o takeover de administrador.