El 3 de noviembre de 2026, la agencia CISA incluyó la vulnerabilidad CVE-2026-119977 en el catálogo de vulnerabilidades explotadas conocidas (KEV). La vulnerabilidad afecta a WordPress Core, desde la versión 4.7.0 hasta la 7.1.3, y se trata de una condición de carrera de tipo Time-of-check Time-of-use (TOCTOU) que permite a un atacante no autenticado ejecutar código arbitrario en el servidor durante una actualización completa del núcleo. La corrección está disponible en WordPress 7.1.4 y se ha backportado a todas las ramas soportadas hasta la serie 4.7. Las agencias civiles federales de Estados Unidos están obligadas a remediar la vulnerabilidad antes del 6 de noviembre de 2026.
Esencia técnica de la vulnerabilidad
Según el aviso de seguridad oficial de WordPress, durante una actualización completa del núcleo (complete-package update) los archivos extraídos se colocan en un directorio predecible dentro del directorio de actualizaciones accesible desde la web. Un atacante que logre ganar la carrera con el proceso de extracción puede acceder a archivos intermedios —en particular, a la ruta del instalador setup-config.php— y conseguir ejecución remota de código sin ningún tipo de autenticación en el sitio.
La vulnerabilidad se clasifica como CWE-367 (TOCTOU Race Condition). Según Wordfence, se le ha asignado una puntuación CVSS de 8.1 (High) con vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. La alta complejidad del ataque (AC:H) refleja la necesidad de acertar en una ventana temporal muy estrecha durante la actualización.
Diferencia en la evaluación de la gravedad
Aquí conviene señalar una diferencia significativa entre las fuentes. El aviso original de WordPress del 29 de octubre de 2026 marca el problema como de baja gravedad (Low severity) e indica «No known CVE». Más tarde, el 31 de octubre, la entrada en la GitHub Advisory Database ya registra el identificador CVE-2026-119977 y clasifica la vulnerabilidad como High. Wordfence confirma la valoración de 8.1. Por lo tanto, la puntuación 8.1 es la evaluación de Wordfence y de GitHub Advisory Database, y no la del propio proveedor en el aviso inicial.
Versiones afectadas
La vulnerabilidad abarca todas las ramas de WordPress Core desde la 4.7 hasta la 7.1.3. Según el aviso de WordPress, entre otras, se ven afectadas:
- 7.1.0–7.1.3, 7.0.0–7.0.7
- 6.9.0–6.9.10, 6.8.0–6.8.11, 6.7.0–6.7.10
- 6.6.0–6.6.10, 6.5.0–6.5.13, 6.4.0–6.4.13
- Ramas anteriores hasta 4.7.0–4.7.38
La corrección se publicó en WordPress 7.1.4, y los parches se han backportado a todas las ramas enumeradas.
Evidencias de explotación
Según Wordfence, en un periodo móvil de 24 horas se bloquearon 18 762 ataques dirigidos a esta vulnerabilidad. Se trata de una instantánea de la telemetría, no del total acumulado de la campaña; la cifra cambia con cada actualización.
De forma independiente a Wordfence, Previdian registró tres intentos de explotación en sus sensores trampa desde una única dirección IP geolocalizada en el Reino Unido. El primer intento está fechado el 30 de octubre de 2026. No obstante, Previdian precisa explícitamente: las observaciones en los sensores confirman los intentos de explotación, pero no demuestran que el sistema objetivo fuera vulnerable ni que el ataque terminara con éxito.
No hay atribución: ninguna de las fuentes disponibles vincula la actividad observada con un grupo, campaña o conjunto concreto de víctimas.
Evaluación del impacto
WordPress sigue siendo la CMS dominante, y una vulnerabilidad en el núcleo —y no en un plugin— amplía automáticamente la superficie de ataque en todas las instalaciones que usan las versiones afectadas. Anteriormente ya hemos analizado vulnerabilidades directamente en el núcleo de WordPress: la LFI crítica CVE-2026-87902 y la vulnerabilidad Click2Shell. CVE-2026-119977 continúa esta tendencia, pero con una característica importante: la ventana de explotación está limitada al momento de la actualización.
Lo paradójico de la situación es que la vulnerabilidad se activa precisamente durante la actualización, una acción que los administradores realizan para mejorar la seguridad. Esto crea un riesgo para los sitios con actualizaciones automáticas y para quienes actualizan manualmente sin controlar el acceso de red al directorio de actualizaciones.
Recomendaciones
- Actualice WordPress de inmediato a la versión 7.1.4 o al parche correspondiente para su rama. La lista de versiones corregidas está publicada en el aviso de seguridad de WordPress.
- Controle el acceso al directorio de actualizaciones. Dado que la explotación depende de acceder a rutas predecibles en el directorio de actualizaciones accesible desde la web durante el proceso de actualización, restringir el acceso de red a estas rutas (por ejemplo, mediante reglas del servidor web o de un WAF) reduce el riesgo incluso antes de aplicar el parche.
- Monitorice las solicitudes a los archivos intermedios de actualización. Las solicitudes a rutas del tipo
setup-config.phpen el directorio de actualizaciones fuera del contexto de una actualización legítima son un indicador de intento de explotación. - Realice las actualizaciones en condiciones de acceso restringido: siempre que sea posible, ponga el sitio en modo mantenimiento o limite el tráfico entrante durante la actualización del núcleo.
La inclusión de CVE-2026-119977 en el catálogo CISA KEV confirma que la vulnerabilidad se explota en la práctica y no se limita a ser teórica. Los administradores de sitios WordPress deben aplicar la actualización a la versión corregida con carácter prioritario y, al mismo tiempo, asegurarse de que el propio proceso de actualización se realiza en condiciones de red seguras, con acceso externo limitado al servidor.
