Duas falhas anunciadas em 21/10/2026 podem permitir rodar código, sem login, em servidor que ainda não recebeu a correção, e a correção não vem por plugin nem por tema: vem por uma versão nova do PHP, que quase nunca é você quem instala. O que perguntar à hospedagem, como conferir a resposta e o que fazer se o seu site ainda roda PHP 8.1 ou anterior.