CISA confirmó la explotación activa de una falla en el núcleo de WordPress. El 2 de noviembre de 2026 agregó CVE-2026-119977 a su catálogo Known Exploited Vulnerabilities (KEV). Se trata de una condición de carrera de tipo TOCTOU (time-of-check time-of-use) con CVSS 8,1 que permite a un atacante sin autenticación ejecutar código en el servidor durante la ventana de una actualización completa del núcleo. Los parches se publicaron a finales de octubre.
Si administras sitios WordPress, propios o de clientes, la prioridad hoy es confirmar que todos estén en la versión corregida y revisar si hubo actividad sospechosa durante las últimas actualizaciones.
Qué es CVE-2026-119977
- Tipo de falla: condición de carrera TOCTOU en WordPress Core.
- Cuándo se puede explotar: durante una actualización completa del paquete del núcleo (full-package core upgrade).
- Causa: según CISA, las rutas temporales de preparación (staging) que usa la actualización son predecibles y accesibles desde la web.
- Impacto: ejecución de código en el servidor por parte de un atacante que no necesita cuenta en el sitio.
- Severidad: CVSS 8,1 (alta).
Wordfence explicó que la explotación exige aprovechar una ventana breve durante la actualización completa. Que la ventana sea corta no la hace inofensiva: los atacantes están automatizando intentos a gran escala para coincidir con ella.
Evidencia de explotación activa
- Más de 18.500 peticiones contra rutas de instalación
setup-config.phppreparadas durante la actualización, registradas por Wordfence en las primeras 21 horas tras la divulgación. - 12.632 intentos bloqueados en 24 horas, según la misma fuente citada por The Hacker News.
- Entrada al KEV el 2 de noviembre de 2026. Las agencias federales civiles de EE.UU. (FCEB) tienen plazo hasta el 6 de noviembre de 2026 para aplicar las correcciones.
- Uso en ransomware: CISA lo marca como desconocido por ahora.
Aunque el plazo de CISA solo obliga a agencias de EE.UU., la entidad recomienda a todas las organizaciones priorizar las vulnerabilidades del catálogo KEV. Para empresas en Colombia y LATAM es una buena señal de urgencia.
Quién está en riesgo
- Sitios WordPress que aún no han instalado la versión corregida publicada a finales de octubre.
- Instalaciones que realizan actualizaciones completas del núcleo con rutas temporales expuestas a internet.
- Agencias, hostings y equipos de TI que administran muchos sitios a la vez, donde un sitio olvidado puede quedar atrás.
Qué hacer hoy: checklist
- Inventaría todos tus sitios WordPress, incluidos los de pruebas, micrositios de campañas y los que administran agencias o terceros.
- Instala la versión corregida que indica el aviso oficial de seguridad de WordPress.org. Verifica en el panel de cada sitio que la actualización terminó.
- Controla la ventana de actualización: actualiza en un horario definido, con monitoreo, y no dejes procesos a medias.
- Revisa los registros del servidor web en busca de peticiones a rutas temporales de actualización y a
setup-config.php, sobre todo desde finales de octubre. - Busca señales de compromiso: archivos PHP nuevos o modificados que no reconozcas, usuarios administradores desconocidos y tareas programadas extrañas.
- Si encuentras indicios, aísla el sitio, cambia credenciales (panel, base de datos, FTP/SSH) y restaura desde una copia confiable.
Cómo puede ayudarte NESS
Casos como este muestran por qué la gestión de vulnerabilidades no termina en instalar un parche: hay que saber qué activos existen, cuáles están expuestos y qué pasó mientras estaban vulnerables. En NESS acompañamos a las empresas con inventario de activos, gestión de vulnerabilidades y monitoreo de infraestructura para priorizar lo que aparece en el KEV antes de que se convierta en un incidente. Si quieres revisar tu exposición, conversemos en nesshq.com.
Preguntas frecuentes
¿Necesita el atacante una cuenta en mi sitio?
No. CISA y Wordfence indican que la falla puede explotarse sin autenticación, aunque solo durante la ventana de una actualización completa del núcleo.
¿Ya hay parche?
Sí. Las correcciones se publicaron a finales de octubre de 2026. Consulta el aviso oficial de WordPress.org para la versión exacta de tu rama.
¿Se usa en ataques de ransomware?
Por ahora CISA lo marca como desconocido.
