Más de 240.000 intentos de explotación contra una vulnerabilidad del núcleo de WordPress que puede permitir a los atacantes ejecutar código malicioso sin necesidad de iniciar sesión. Según el informe proporcionado por Wordfence, los ataques comenzaron el 28 de octubre de 2026, el mismo día en que WordPress lanzó una actualización de seguridad para solucionar el fallo.

Identificada como CVE-2026-119977, la vulnerabilidad tiene una puntuación CVSS de severidad alta de 8,1. Afecta a las ramas de WordPress no parcheadas desde la 4.7 hasta la 7.1.3. El investigador Umut Bayram informó sobre esta debilidad, que implica carpetas predecibles y accesibles públicamente que se crean durante las actualizaciones completas del núcleo de WordPress.

WordPress solucionó el problema en su lanzamiento de seguridad del 28 de octubre, junto con otras correcciones de seguridad. Las ramas más antiguas también recibieron parches retroactivos. La cobertura anterior sobre las correcciones de seguridad de WordPress 7.1.4 explicó cómo la actualización cambia el manejo de las carpetas temporales para reducir la exposición durante las actualizaciones.

240.000 intentos de explotación de WordPress

Durante una actualización completa, WordPress extrae los archivos de instalación en una carpeta temporal debajo de /wp-content/upgrade/. En instalaciones vulnerables, los nombres de carpeta predecibles pueden permitir que los atacantes encuentren este instalador independiente mediante una solicitud web mientras la actualización sigue en curso. No se requiere ninguna cuenta de WordPress existente ni interacción del usuario.

El ataque depende de una condición de carrera, lo que significa que el atacante debe acceder a esos archivos en el momento justo. El instalador temporal debe permanecer accesible el tiempo suficiente para completar el ataque antes de que la limpieza lo elimine. Este requisito de tiempo hace que la explotación exitosa sea difícil, incluso cuando los atacantes sondean repetidamente rutas conocidas.

El anuncio oficial de lanzamiento de WordPress confirma que la debilidad de la actualización puede conducir a la ejecución remota de código. El registro CVE lo clasifica como una condición de carrera de "tiempo de verificación, tiempo de uso", con un alto impacto potencial en la confidencialidad, integridad y disponibilidad de los datos.

Según el análisis proporcionado por Wordfence, los atacantes que logren acceder al instalador expuesto podrían completar una instalación por etapas, crear una cuenta de administrador y cargar código PHP malicioso. Ese acceso podría servir para instalar puertas traseras, cambiar contenidos o robar datos. Las solicitudes observadas se dirigieron a archivos del instalador dentro de directorios de actualización predecibles.

Las cifras proporcionadas por Wordfence muestran que el tráfico de ataques alcanzó su punto máximo el 30 de octubre, cuando su firewall bloqueó más de 74.000 solicitudes. La actividad fue mayor entre el 29 de octubre y el 1 de noviembre. Estas cifras describen solicitudes bloqueadas, no infecciones confirmadas, ejecuciones de código exitosas o el número de sitios web individuales afectados.

Informes anteriores sobre 60.000 intentos de ataque a WordPress hicieron la misma distinción. Las solicitudes automatizadas repetitivas pueden aumentar la probabilidad de encontrar un instalador expuesto, pero los totales de solicitudes por sí solos no pueden establecer si los atacantes completaron los pasos requeridos o ganaron acceso permanente.

Debes instalar WordPress 7.1.4 o la versión parcheada correspondiente a tu rama. Es posible que las actualizaciones automáticas en segundo plano hayan instalado la corrección, pero debes verificar que se haya completado. WordPress recomienda actualizar inmediatamente y señala que solo su versión más reciente recibe soporte activo.

Actualizar desde una versión vulnerable sigue utilizando el proceso de actualización existente una vez. La guía de Wordfence recomienda bloquear el acceso público a los archivos PHP debajo de /wp-content/upgrade/ antes de actualizar. Su protección requiere el modo de Protección Extendida porque los archivos PHP preparados se ejecutan fuera de la carga normal de WordPress.