VULNERABILIDAD
CISA confirma explotación activa de una falla crítica en WordPress Core durante actualizaciones
La agencia estadounidense sumó la vulnerabilidad CVE-2026-119977 a su catálogo de fallas explotadas. Permite ejecutar código sin autenticación en una breve ventana durante la actualización del núcleo.
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó a su catálogo de vulnerabilidades explotadas conocidas una falla del núcleo de WordPress identificada como CVE-2026-119977, con una severidad calificada como alta y un puntaje CVSS de 8.1.
Se trata de una condición de carrera de tipo time-of-check time-of-use (TOCTOU) que, según la agencia, podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización, debido a rutas de preparación predecibles y accesibles desde la web que se usan en las actualizaciones completas del paquete central.
Los parches para la falla se publicaron a fines del mes anterior. La empresa de seguridad Wordfence, que dio a conocer los detalles, indicó que la explotación no requiere tener una cuenta en el sitio, pero sí aprovechar una ventana breve durante una actualización completa del núcleo.
CISA fijó el 6 de noviembre de 2026 como plazo para que las agencias federales del poder ejecutivo civil apliquen las correcciones.
Cómo ocurrió
- Confirmado
- Falla TOCTOUCondición de carrera en WordPress CoreConfirmado.
- Ventana de actualizaciónRutas de preparación predeciblesConfirmado.
- Ejecución de códigoSin autenticación durante la ventanaConfirmado.
WordPressSitios con el núcleo afectadoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- CISA agregó CVE-2026-119977 al catálogo KEV por evidencia de explotación activa.
- La vulnerabilidad es una condición de carrera TOCTOU en WordPress Core con puntaje CVSS de 8.1.
- Los parches fueron publicados a fines del mes anterior al aviso.
- CISA otorgó a las agencias federales civiles plazo hasta el 6 de noviembre de 2026 para aplicar las mitigaciones.
SIN VERIFICAR O ABIERTO
- No se informó qué sitios o organizaciones resultaron comprometidos por la explotación.
- No se atribuyó la actividad a un actor de amenazas específico.
- No se precisó el alcance total de los intentos de explotación exitosos.
Contexto
Wordfence registró más de 18.500 solicitudes dirigidas a rutas de instalación preparadas del archivo setup-config.php en las primeras 21 horas posteriores a la divulgación pública de la falla, y bloqueó 12.632 ataques en las últimas 24 horas, según sus propios datos.
Telemetría de Previdian detectó tres intentos de explotación contra sus sensores trampa desde una dirección IP geolocalizada en el Reino Unido, observados el 30 de octubre de 2026.
WordPress es uno de los sistemas de gestión de contenidos más usados del mundo, por lo que las fallas en su núcleo alcanzan a una base amplia de sitios, incluidos muchos de organizaciones pequeñas y medianas.
Qué hacer
- Actualizar el núcleo ya Aplicar las versiones parcheadas de WordPress Core y verificar que la actualización se complete sin interrupciones.
- Revisar rutas de instalación Comprobar que no queden rutas de preparación accesibles desde la web tras una actualización y restringir el acceso a archivos de instalación.
- Monitorear intentos de explotación Vigilar registros del servidor en busca de solicitudes a rutas de instalación y de actividad anómala durante las ventanas de actualización.
- Inventariar sitios expuestos Identificar todos los sitios WordPress con exposición a internet y priorizar los que no cuentan con mantenimiento frecuente.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
