CISA incorporó el 3 de noviembre de 2026 la vulnerabilidad CVE-2026-119977 de WordPress a su catálogo de fallos explotados, según confirmó el Centro Canadiense de Ciberseguridad. El problema afecta al proceso de actualización del núcleo y puede permitir que un atacante ejecute código en el servidor durante ese procedimiento.
La corrección está disponible en WordPress 7.1.4, publicado el 28 de octubre. En su anuncio oficial, el proyecto recomienda actualizar los sitios inmediatamente por tratarse de una versión de seguridad.
Qué ocurre durante la actualización
De acuerdo con la ficha técnica de Wordfence, el fallo se debe a rutas temporales predecibles y accesibles desde la web que se utilizan al actualizar el núcleo mediante un paquete completo. Durante esa ventana, un atacante sin iniciar sesión puede llegar a ejecutar código en el servidor.
La vulnerabilidad es una condición de carrera: el resultado depende del momento en que se producen las operaciones. Wordfence le asigna una puntuación de 8.1 sobre 10, de gravedad alta, y señala que la complejidad del ataque es alta. El problema está en WordPress Core, por lo que no depende de instalar un complemento vulnerable.
WordPress atribuye el hallazgo a Umut Bayram, de Picus Security. La incorporación al catálogo de vulnerabilidades explotadas eleva la prioridad de aplicar la corrección. La alerta canadiense no detalla quién está detrás de los ataques ni cuántos sitios han sido comprometidos.
Qué deben revisar los administradores
Los responsables de sitios deben comprobar la versión instalada y confirmar que la actualización de seguridad se haya completado. En la rama 7.1, la versión corregida es la 7.1.4. Wordfence también enumera parches para ramas anteriores, como 7.0.8, 6.9.11 y 6.8.12; por eso conviene revisar la versión exacta de cada instalación.
La actualización puede iniciarse desde Escritorio → Actualizaciones → Actualizar ahora. WordPress indica que los sitios compatibles con las actualizaciones automáticas en segundo plano comenzarán el proceso automáticamente, pero es necesario verificar que haya terminado. El proyecto recuerda, además, que solo su versión más reciente cuenta con soporte activo.
La versión 7.1.4 incluye correcciones adicionales, entre ellas varios problemas de secuencias de comandos entre sitios (XSS). Actualizar permite cerrar este fallo del proceso de instalación y aplicar las demás correcciones de seguridad del lanzamiento.
Fuentes: alerta AV26-1117 del Centro Canadiense de Ciberseguridad, anuncio de WordPress 7.1.4 y análisis técnico de Wordfence.
Imagen de portada: logotipo oficial de WordPress. Crédito: WordPress / WordPress Foundation. Fuente: WordPress.org — Graphics & Logos.
[…] Lee también: CISA alerta de un fallo de WordPress explotado durante las actualizaciones. […]