La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) confirmó la explotación de una vulnerabilidad del núcleo de WordPress y la incorporó el 3 de noviembre a su catálogo de vulnerabilidades explotadas conocidas, conocido como KEV. El fallo, CVE-2026-119977, puede permitir que un atacante sin autenticación ejecute código en el servidor mientras se instala una actualización completa de WordPress.
El problema tiene una puntuación CVSS de 8,1 y se debe a una condición de carrera de tipo TOCTOU —«time-of-check time-of-use»—. La ventana de riesgo aparece durante el proceso de actualización: rutas de preparación previsibles y accesibles desde la web pueden exponer archivos temporales antes de que termine la instalación. WordPress publicó la corrección en la versión 7.1.4 el 28 de octubre.
«WordPress Core contiene una vulnerabilidad de condición de carrera de tipo time-of-check time-of-use (TOCTOU) que podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización. Esto se debe a rutas de preparación previsibles y accesibles desde la web utilizadas durante las actualizaciones completas del núcleo».
— CISA
El ataque depende de una ventana breve de actualización
La vulnerabilidad no exige que el atacante tenga una cuenta en el sitio, pero sí que consiga aprovechar el intervalo en que se prepara una actualización completa del núcleo. Según la descripción de CISA, el riesgo reside en las rutas de preparación expuestas durante ese proceso. La ejecución de código en el servidor es el resultado posible si el atacante explota la condición de carrera mientras la actualización está en curso.
The Hacker News informó que los detalles técnicos se hicieron públicos la semana anterior a la inclusión en KEV. Wordfence, la empresa de seguridad de WordPress citada por ese medio, señaló que no hace falta una cuenta y que el ataque debe coincidir con la breve ventana de una actualización completa. No se trata, por tanto, de una prueba de que cualquier instalación vulnerable pueda atacarse en cualquier momento: el proceso de actualización es parte de las condiciones descritas.
El fallo afecta a WordPress Core anterior a 7.1.4, según el aviso del Centro Canadiense para la Ciberseguridad. Previdian precisa que las versiones afectadas van de la 4.7 a la 7.1.3. WordPress anunció que los parches de seguridad se están incorporando también a las ramas elegibles, actualmente hasta la 4.7; esos backports se distribuirán a medida que estén listos. El anuncio recuerda que solo la versión más reciente recibe soporte activo.
Más de 18.500 solicitudes en las primeras 21 horas
Las señales de actividad aparecieron antes de la confirmación de CISA. Wordfence registró más de 18.500 solicitudes dirigidas a rutas de instalador «setup-config.php» preparadas durante las primeras 21 horas posteriores a la divulgación pública. En el momento del informe, se habían bloqueado 12.632 intentos de explotación durante las 24 horas anteriores.
Previdian observó tres intentos contra sus sensores, todos desde una dirección IP geolocalizada en el Reino Unido. Los eventos se detectaron el 30 de octubre de 2026. Sus datos detallan un único IP atacante, un país y un sensor; la empresa indica que sus observaciones no demuestran que el objetivo fuera vulnerable ni que los intentos tuvieran éxito.
La cronología de Previdian sitúa la primera observación de sus sensores el 30 de octubre. Ese mismo día incorporó el caso a su feed de vulnerabilidades explotadas, y el identificador CVE quedó reservado. El identificador se asignó el 2 de noviembre; CISA añadió la vulnerabilidad al KEV el 3 de noviembre. El 4 de noviembre, The Hacker News informó de la confirmación y la explotación activa.
The Hacker News señala que las agencias del Poder Ejecutivo Civil Federal de Estados Unidos tienen hasta el 6 de noviembre de 2026 para aplicar las correcciones. La incorporación al catálogo confirma la explotación, pero no identifica por sí sola qué sitios pudieron verse comprometidos.
WordPress 7.1.4 reúne varias correcciones de seguridad
WordPress publicó la versión 7.1.4 el 28 de octubre como una actualización de seguridad y recomendó instalarla de inmediato. La corrección de la vulnerabilidad de ejecución remota durante la actualización fue una de varias incluidas. El anuncio de WordPress enumera también fallos de secuencia de comandos entre sitios almacenados (XSS), problemas en la API Interactivity, exposición de cambios no publicados del personalizador y una actualización de los certificados raíz incluidos debido a la revocación de eMudhra.
Entre los problemas detallados, WordPress atribuyó a Anthropic el aviso sobre solicitudes de eliminación de datos de privacidad que podían generar XSS almacenado, así como otro caso relacionado con inicios de sesión de usuario preparados especialmente. Rafie Muhammad, de Awesome Motive, Inc., informó de un XSS en marcado de bloques y otro en la actualización selectiva del personalizador. Ben Bidner, del equipo de seguridad de WordPress, reportó problemas en los bloques Categories, Playlist e imágenes. El anuncio también identifica varios informes sobre la API Interactivity y los bloques de paginación de comentarios.
La publicación es una versión de ciclo corto; WordPress indicó que la siguiente versión principal, la 7.2, estaba prevista para el 8 de diciembre. También anunció WordPress 7.2 Beta 3, que contiene las correcciones aplicables. Los backports para las ramas que reciben actualizaciones de seguridad estaban en curso cuando se publicó el anuncio.
El parche y la investigación son tareas distintas
El Centro Canadiense para la Ciberseguridad publicó el aviso AV26-1117 el 3 de noviembre. Identifica como afectado WordPress Core anterior a 7.1.4, informa de la inclusión de CVE-2026-119977 en KEV y recomienda a usuarios y administradores revisar las actualizaciones pertinentes. WordPress ofrece la versión 7.1.4 para descarga y también permite iniciar la actualización desde el panel de administración; los sitios compatibles con actualizaciones automáticas pueden recibirla en segundo plano.
Park Labs distingue entre instalar la corrección y determinar si hubo actividad anterior. Para evaluar un sitio, plantea comprobar la versión del núcleo, los registros de actualización y las solicitudes recibidas durante el proceso, además de conservar registros y archivos si se sospecha una intrusión. Esas comprobaciones no constituyen una confirmación de que un sitio concreto haya sido atacado; la telemetría publicada por Previdian tampoco acredita que sus intentos culminaran en una ejecución de código.
La alerta de CISA llega después de la publicación del parche y de los primeros intentos observados a finales de octubre. Para los administradores, el siguiente dato práctico es verificar que la instalación ejecuta una versión que incluye la corrección; para las agencias federales civiles estadounidenses, el plazo comunicado para aplicarla vence el 6 de noviembre.
Fuentes: The Hacker News, Canadian Centre for Cyber Security, WordPress News, Previdian, Park Labs
