Seguir Una vulnerabilidad de alta gravedad en el núcleo de WordPress está siendo activamente explotada en ataques, lo que ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) a añadir la falla a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Rastreada como CVE-2026-119977, la vulnerabilidad tiene un puntaje CVSS de 8.1 y puede permitir a un atacante no autenticado ejecutar código arbitrario en un servidor vulnerable durante una actualización del núcleo de WordPress.
La vulnerabilidad se origina a partir de una condición de carrera de tiempo de verificación-tiempo de uso (TOCTOU) en el proceso de actualización de WordPress. Durante las actualizaciones de paquetes completos del núcleo, WordPress temporalmente ubica los archivos de instalación en ubicaciones predecibles y accesibles desde la web. Los atacantes pueden sondear repetidamente estas ubicaciones e intentar alcanzar componentes del instalador durante el breve periodo en que se está llevando a cabo una actualización.
WordPress abordó el problema en la versión 7.1.4, lanzada el 28 de octubre de 2026. La vulnerabilidad afecta a las versiones de WordPress desde la 4.7 hasta la 7.1.3, mientras que las correcciones de seguridad también se han retroportado a ramas más antiguas elegibles. WordPress enfatiza que solo se admite activamente la última versión lanzada.
El riesgo ha superado la explotación teórica. La telemetría de Wordfence citada por The Hacker News registró más de 18,500 solicitudes dirigidas a rutas de setup-config.php programadas durante las primeras 21 horas después de la divulgación. Posteriormente, CISA confirmó evidencia de explotación y exigió a las agencias civiles federales de EE.UU. correspondientes que remedien la vulnerabilidad antes del 6 de noviembre de 2026.
Los equipos de seguridad pueden usar la Plataforma SOC Prime para fortalecer la cobertura de detección contra técnicas de explotación emergentes y buscar actividades sospechosas asociadas con sistemas vulnerables expuestos a Internet. Detectar la explotación de CVE-2026-119977 mediante la monitorización de solicitudes anormales a ubicaciones de actualización de WordPress, ejecuciones inesperadas de PHP, cuentas administrativas recién creadas, archivos sospechosos y comportamientos posteriores a la explotación.
El contenido de detección puede no estar disponible para cada CVE. Consulte la Plataforma SOC Prime para obtener cobertura actual. Si las detecciones relevantes aún no están disponibles, consúltelo nuevamente a medida que se añaden continuamente nuevas inteligencias de amenazas y contenido de detección.
Análisis de CVE-2026-119977
CVE-2026-119977 se clasifica como una condición de carrera TOCTOU bajo CWE-367 y tiene un puntaje CVSS 3.1 de 8.1. Su vector refleja una explotación basada en red que no requiere privilegios o interacción del usuario, con un alto potencial de impacto en la confidencialidad, integridad, y disponibilidad. La complejidad del ataque se califica como alta porque la explotación exitosa depende de alcanzar un recurso vulnerable durante una ventana de actualización estrecha.
CVE-2026-119977 afecta las versiones del núcleo de WordPress desde la 4.7 hasta la 7.1.3. La debilidad no está ligada a un plugin o tema de terceros; existe en el propio mecanismo de actualización del software del núcleo.
El problema ocurre durante las actualizaciones de paquetes completos del núcleo. WordPress extrae temporalmente el nuevo paquete en una ubicación de preparación bajo el directorio wp-content/upgrade antes de reemplazar la instalación existente. En las versiones afectadas, partes de esta ubicación de preparación pueden ser predecibles y accesibles desde la web mientras la actualización está en curso.
Un componente particularmente importante es el instalador setup-config.php en preparación. Un atacante no autenticado que prediga correctamente la ruta temporal y alcance ese componente antes de que WordPress complete la limpieza puede ser capaz de interactuar con la instalación en preparación y, en última instancia, ejecutar código PHP en el servidor.
Esto crea un modelo de explotación inusual. Un sitio de WordPress vulnerable no es necesariamente explotable de forma continua. En cambio, el atacante debe atrapar el sitio durante el breve período en el que una actualización de paquete completo expone los archivos de preparación. Los investigadores indican que la oportunidad puede durar solo segundos.
Los atacantes pueden compensar esa limitación a través de la automatización. En lugar de hacer una sola solicitud, los actores de amenazas pueden sondear continuamente rutas de actualización potenciales y esperar que un objetivo comience a actualizarse. Wordfence observó que los atacantes solicitaban repetidamente variaciones de ubicaciones de instaladores en preparación, demostrando que los actores del mundo real entendieron rápidamente cómo dirigirse a la condición de carrera.
El gran volumen de solicitudes observadas debe interpretarse cuidadosamente, sin embargo. Las cifras reportadas representan solicitudes bloqueadas o intentos de explotación y no significan que cada solicitud resultó en una ejecución exitosa de código remoto. La explotación aún requiere que la solicitud coincida con una actualización de paquete completo activa y otras condiciones del servidor requeridas.
La telemetría inicial de Wordfence mostró más de 18,500 solicitudes contra rutas de instaladores en preparación en las primeras 21 horas. GBHackers luego informaron casi 59,000 intentos bloqueados en un período de 24 horas, mientras que The Hacker News citó telemetría adicional que demuestra actividad continua de explotación.
La telemetría de honeypot independiente citada por The Hacker News registró intentos de explotación el 30 de octubre, apoyando aún más la decisión de CISA de clasificar la vulnerabilidad como activamente explotada. La adición de la falla por parte de CISA a KEV aumenta significativamente la urgencia para las organizaciones que operan infraestructura pública de WordPress.
En el momento de escribir esto, las fuentes revisadas no documentan un repositorio PoC de CVE-2026-119977 ampliamente disponible y públicamente validado. Sin embargo, no se requiere código de explotación público para establecer el riesgo porque los intentos de explotación ya se han observado a gran escala y CISA ha confirmado la explotación activa.
WordPress 7.1.4 cambia el proceso de actualización vulnerable. Según lo informado técnicamente disponible, la mitigación incluye hacer que las ubicaciones de preparación sean menos predecibles, introducir protecciones adicionales contra el acceso directo y evitar que los datos de configuración en preparación se promuevan de manera insegura.
WordPress reconoció al investigador de seguridad Umut Bayram por reportar la debilidad del proceso de actualización. La versión 7.1.4 fue liberada el 28 de octubre de 2026, y el registro CVE se publicó posteriormente el 31 de octubre.
Para la detección de CVE-2026-119977, los defensores deben prestar atención especial a las solicitudes web que apuntan a rutas inusuales bajo wp-content/upgrade, especialmente solicitudes que hacen referencia a copias en preparación de setup-config.php. Las solicitudes repetidas en múltiples directorios de preparación posibles pueden indicar una sondeación automatizada que intenta ganar la condición de carrera.
La explotación exitosa puede potencialmente proporcionar ejecución remota de código PHP en el contexto del servidor web afectado. Por lo tanto, los defensores deben correlacionar las solicitudes sospechosas de rutas de actualización con evidencia subsiguiente como archivos PHP inesperados, modificación de datos de configuración de WordPress, cuentas administrativas desconocidas, plugins maliciosos, procesos secundarios inusuales generados por el servidor web o conexiones salientes inesperadas.
Los informes públicos no han identificado un conjunto integral de IOCs específicos del atacante para CVE-2026-119977, como dominios de mando y control estables o hashes de malware. Esto hace que la detección basada en comportamiento sea particularmente importante. Las solicitudes a rutas de preparación predecibles, la actividad sospechosa durante una ventana de actualización, y las modificaciones posteriores a la explotación brindan oportunidades de búsqueda más duraderas que depender exclusivamente de indicadores estáticos.
Mitigación de CVE-2026-119977
La mitigación principal de CVE-2026-119977 es actualizar WordPress de inmediato. WordPress 7.1.4 contiene la corrección de seguridad, y también se han disponibilizado o retroportado correcciones para ramas de lanzamiento anteriores elegibles. Las organizaciones deben priorizar la migración a la última versión de WordPress activamente soportada en lugar de confiar indefinidamente en retroportaciones de seguridad de legado.
Los administradores deben tomar las siguientes acciones:
- Actualice las instalaciones de WordPress accesibles desde Internet a la versión 7.1.4 o posterior.
- Verifique que las actualizaciones automáticas se completaron correctamente en lugar de asumir que se aplicó una actualización.
- Inventaríe las instalaciones antiguas de WordPress, incluidos los sitios de desarrollo, preparación y legado olvidados.
- Revise los registros del servidor web y WAF en busca de solicitudes que apunten a wp-content/upgrade y rutas de setup-config.php en preparación.
- Investigue archivos PHP inesperados, nuevas cuentas de administrador de WordPress, plugins no autorizados y cambios de configuración inexplicables.
- Revise las conexiones salientes y los procesos secundarios del servidor web en busca de evidencia de actividad posterior a la explotación.
- Asegúrese de que las protecciones WAF operen lo suficientemente temprano en la ruta de solicitud para cubrir solicitudes directas a archivos PHP temporales.
- Considere restringir el acceso web directo a directorios de actualización temporal donde sea operativamente factible.
Las reglas del firewall de aplicaciones web pueden reducir la exposición a intentos de explotación automatizados, pero no deben ser tratadas como un reemplazo para el parchado. Dado que el recurso vulnerable puede existir temporalmente fuera del flujo normal de solicitudes de WordPress, los administradores deben verificar que su implementación WAF realmente inspeccione solicitudes directas a archivos PHP preparados.
Las organizaciones que actualizaron mientras la explotación activa ya estaba en curso también deben considerar una investigación retrospectiva. Completar la actualización elimina el comportamiento vulnerable, pero no prueba que no se haya comprometido el servidor mientras la carpeta de preparación vulnerable estaba disponible.
Revise los registros de acceso alrededor de la marca de tiempo precisa de la actualización. Las solicitudes a las rutas de preparación afectadas ocurridas inmediatamente antes o durante la actualización deben recibir un escrutinio adicional. Los equipos de seguridad deben correlacionar luego esas solicitudes con cambios en el sistema de archivos, modificaciones de cuentas de WordPress, ejecución de PHP, conexiones de red sospechosas y otros indicadores posteriores a la explotación.
Si se sospecha un compromiso, aisle el host afectado donde sea práctico, preserve los registros web, de aplicaciones, de autenticación y de sistema relevantes, y recopile archivos sospechosos antes de la remediación. Las credenciales y secretos accesibles para el proceso de WordPress/PHP deben considerarse potencialmente expuestos y rotarse según los hallazgos de la investigación.
La inclusión de la vulnerabilidad por parte de CISA en KEV confirma que la remediación debe ser tratada como una prioridad operativa inmediata en lugar de un elemento de ciclo de parcheo rutinario. A las agencias de la Rama Ejecutiva Civil Federal se les ordenó abordar el problema antes del 6 de noviembre de 2026.
FAQ
¿Qué es CVE-2026-119977 y cómo funciona?
CVE-2026-119977 es una vulnerabilidad de ejecución remota de código de alta gravedad no autenticada en el núcleo de WordPress causada por una condición de carrera TOCTOU en el proceso de actualización. Durante las actualizaciones de paquetes completos del núcleo, WordPress temporalmente ubica los archivos de instalación en ubicaciones previsibles y accesibles desde la web. Un atacante que alcance el instalador en preparación durante esta breve ventana puede ser capaz de ejecutar código PHP arbitrario en el servidor.
¿Cuándo se descubrió por primera vez CVE-2026-119977?
WordPress reconoció al investigador de seguridad Umut Bayram por reportar la vulnerabilidad. WordPress lanzó la versión 7.1.4 que contiene la corrección el 28 de octubre de 2026, mientras que el registro CVE fue publicado el 31 de octubre. Las fuentes revisadas no especifican la fecha exacta en la que se informó originalmente la vulnerabilidad en privado a WordPress.
¿Cuál es el impacto de CVE-2026-119977 en los sistemas?
La explotación exitosa puede permitir que un atacante remoto no autenticado ejecute código arbitrario en el servidor de WordPress afectado durante la ventana de actualización vulnerable. Dependiendo de los privilegios del proceso del servidor web y de las acciones posteriores del atacante, esto podría llevar a la violación del sitio web, despliegue de archivos maliciosos, robo de datos, persistencia, exposición de credenciales o intrusión adicional en la infraestructura conectada.
¿Puede CVE-2026-119977 seguir afectándome en 2026?
Sí. Las instalaciones de WordPress que ejecutan versiones afectadas permanecen en riesgo y la explotación está ocurriendo en la práctica. CISA añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas después de obtener evidencia de ataques activos, mientras que los proveedores de seguridad han registrado decenas de miles de solicitudes intentando alcanzar rutas de preparación vulnerables.
¿Cómo puedo protegerme de CVE-2026-119977?
Actualice WordPress a la versión 7.1.4 o a una versión posterior soportada de inmediato y confirme que la actualización se completó con éxito. Revise los registros del servidor web y WAF para solicitudes que apunten a directorios de actualización temporales, inspeccione los sitios en busca de archivos PHP no autorizados, cuentas de administrador, plugins o cambios de configuración, e investigue sistemas que se actualizaron mientras se llevaban a cabo intentos de explotación. Las organizaciones también deben monitorear los avisos de WordPress y CISA para obtener detalles actualizados sobre CVE-2026-119977 a medida que se desarrolla el panorama de explotación.
