La agencia CISA advirtió sobre la explotación activa de una vulnerabilidad de alta severidad en WordPress (CVE-2026-119977) que permite la ejecución remota de código durante el proceso de actualización. Se ha instado a las agencias federales y al sector privado a actualizar inmediatamente a la versión 7.1.4 para mitigar el riesgo. Wordfence ya ha reportado el bloqueo de miles de ataques dirigidos a este fallo en un solo día.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) advirtió a las agencias federales que los atacantes han comenzado a explotar en la naturaleza una vulnerabilidad de gravedad alta de WordPress recientemente parcheada.

Identificada como CVE-2026-119977, este fallo del núcleo de WordPress se deriva de una condición de carrera de Tiempo de comprobación Tiempo de uso (TOCTOU) y fue reportado por el investigador de Picus Security, Umut Bayram.

Una explotación exitosa puede permitir que actores de amenazas remotas sin privilegios ejecuten código en el servidor en ataques de alta complejidad debido a rutas de preparación predecibles y accesibles vía web utilizadas durante las actualizaciones completas del núcleo.


"Una debilidad en el proceso de actualización de WordPress que puede conducir a la ejecución remota de código durante la ventana de actualización", afirmó el equipo de seguridad de WordPress el 28 de octubre cuando lanzó WordPress 7.1.4 con parches para solucionar este problema de seguridad. "Dado que se trata de una versión de seguridad, se recomienda que actualice sus sitios inmediatamente".

CISA confirmó la explotación activa de CVE-2026-119977 el martes y añadió el fallo a su Catálogo de Vulnerabilidades Conocidas Explotadas (KEV), ordenando a las agencias de la Rama Ejecutiva Civil Federal (FCEB) asegurar sus sistemas para el viernes, según lo mandatado por la Directiva Operativa Vinculante (BOD) 26-04.

"Este tipo de vulnerabilidad es un vector de ataque frecuente para los ciberactores maliciosos y plantea riesgos significativos para la empresa federal", advirtió la agencia de ciberseguridad.

Aunque la BOD 26-04 se dirige solo a las agencias federales de EE. UU., CISA instó a todos los defensores de redes, incluidos los del sector privado, a priorizar el parcheo de esta vulnerabilidad para proteger sus servidores.

Si bien CISA no proporcionó más detalles sobre los atacantes que explotan CVE-2026-119977, la empresa de seguridad de WordPress Wordfence afirma en una actualización de aviso durante el fin de semana que "bloqueó 13,095 ataques dirigidos a esta vulnerabilidad en las últimas 24 horas".

En julio, el equipo de seguridad de WordPress también parcheó una cadena de vulnerabilidades críticas en el núcleo de WordPress (llamada wp2shell) que puede ser abusada para desplegar webshells y tomar el control de servidores no parcheados explotando una vulnerabilidad de confusión de ruta de lote de la API REST (CVE-2026-63030) y un fallo de inyección SQL (CVE-2026-60137).

Los exploits públicos de wp2shell fueron publicados un día después de que los parches estuvieran disponibles, y los atacantes comenzaron a vulnerar servidores no parcheados pocos días después para desplegar webshells persistentes e instalar plugins maliciosos.

Un actor de amenazas de habla china también utilizó la cadena de exploits wp2shell en septiembre para robar datos sensibles de más de 18,500 registros almacenados en bases de datos backend pertenecientes a pequeñas empresas y organizaciones gubernamentales.

Fuente:
BleepingComputer