La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha alertado sobre una vulnerabilidad en el núcleo de WordPress que permite a los atacantes ejecutar código malicioso en los servidores de los sitios web. Debido a que existen pruebas de que esta falla está siendo explotada activamente, CISA la incluyó en su catálogo de vulnerabilidades explotadas el 3 de noviembre de 2026, instando a los usuarios a aplicar los parches de seguridad de inmediato.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha advertido que los atacantes están explotando una vulnerabilidad en el núcleo de WordPress que puede permitir la ejecución de código malicioso en los servidores de los sitios web.

CISA añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas el 3 de noviembre de 2026, confirmando pruebas de explotación activa y subrayando la necesidad de aplicar parches rápidamente.

Rastreada como CVE-2026-119977, la vulnerabilidad afecta a las versiones del núcleo de WordPress desde la 4.7 hasta la 7.1.3 y tiene una puntuación de severidad CVSS alta de 8.1. Los atacantes no necesitan una cuenta válida ni interacción del usuario. Sin embargo, la explotación requiere una sincronización precisa durante una actualización completa del núcleo de WordPress, en lugar de simplemente visitar cualquier sitio web que ejecute una versión afectada.

La debilidad implica carpetas temporales predecibles creadas durante las actualizaciones. Cuando WordPress extrae un paquete de actualización completo, coloca los archivos en un directorio de preparación bajo wp-content/upgrade. En las configuraciones afectadas, esos archivos pueden ser accedidos a través de la web mientras el servidor aún está completando la actualización, exponiendo brevemente una copia separada del instalador de WordPress.

Un atacante que acceda a ese instalador antes de que termine la limpieza podría usarlo para conectar la instalación preparada a una base de datos que él controle, creando un camino hacia la ejecución de código en el servidor. Se trata de una condición de carrera de "tiempo de verificación, tiempo de uso", comúnmente llamada TOCTOU. El ataque depende de alcanzar los archivos temporales antes de que WordPress los elimine.

Que la apertura sea breve no hace que el fallo sea inofensivo. Un informe sobre ataques de ejecución remota de código en WordPress describió más de 18,500 solicitudes dirigidas a rutas de instaladores preparados durante las primeras 21 horas de monitoreo. Las solicitudes repetidas pueden ayudar a los atacantes a aprovechar la corta ventana de actualización, aunque esas solicitudes por sí solas no prueban una brecha exitosa.

Vulnerabilidad del núcleo de WordPress explotada

La alerta oficial de CISA confirma la explotación, pero no identifica a los atacantes ni revela cuántos sitios web fueron comprometidos. La entrada de su catálogo da a los defensores una razón más fuerte para priorizar el problema más allá de su puntuación de severidad. CISA también insta a las organizaciones ajenas al gobierno a solucionar las vulnerabilidades explotadas conocidas mediante parches basados en el riesgo.

Un informe separado que cubre más de 60,000 intentos de ataque a WordPress citó 60,471 intentos bloqueados en 24 horas. Esa cifra mide la actividad del firewall, no las víctimas únicas o infecciones confirmadas. Mantener estas categorías separadas es importante cuando juzgues la escala de una campaña y expliques lo que los datos de monitoreo muestran realmente.

WordPress lanzó la versión 7.1.4 el 28 de octubre de 2026 para corregir la debilidad de actualización y otros problemas de seguridad. El anuncio oficial de seguridad acredita al investigador Umut Bayram por informar el fallo y recomienda actualizaciones inmediatas. WordPress también anunció backports para ramas antiguas elegibles, señalando que solo su lanzamiento más reciente cuenta con soporte activo.

Debes abrir el Panel, seleccionar Actualizaciones y verificar que la versión de seguridad haya terminado de instalarse. Los sitios que dependen de actualizaciones automáticas en segundo plano aún necesitan esa comprobación. Hasta que el parcheo esté completo, restringir el acceso web público al directorio de actualizaciones puede reducir la exposición. Un firewall debe seguir siendo una capa extra de protección, no un reemplazo para corregir el núcleo de WordPress.

Deberías revisar los registros del servidor en busca de solicitudes inusuales a archivos PHP bajo wp-content/upgrade e investigar cuentas de administrador, complementos o cambios de archivos desconocidos. Estas comprobaciones te ayudan a identificar señales que requieren más investigación, sin tratar cada solicitud bloqueada como prueba de un compromiso.