WordPress, CVE-2026-119977: CISA confirma la explotación activa

El 3 de noviembre de 2026 CISA, la agencia estadounidense de ciberseguridad, añadió a su catálogo Known Exploited Vulnerabilities (KEV) la CVE-2026-119977, una condición de carrera de tipo time-of-check time-of-use (TOCTOU) en el núcleo de WordPress. Es el fallo del proceso de actualización corregido con WordPress 7.1.4, del que escribimos el 30 de octubre, cuando aún no tenía identificador y solo se conocían los intentos de ataque observados por Wordfence. La inclusión en el catálogo KEV indica que CISA tiene pruebas de explotación activa. El 4 de noviembre también el NCSC-NL, el centro nacional de ciberseguridad de los Países Bajos, publicó un aviso sobre la vulnerabilidad.

Qué añaden los avisos

Según la ficha de la National Vulnerability Database (NVD), a la que remite la entrada del catálogo KEV, WordPress Core es vulnerable a la ejecución remota de código en las versiones de la 4.7 a la 7.1.3. La causa son las rutas de staging predecibles y accesibles desde la web que WordPress usa durante las actualizaciones del núcleo con el paquete completo: un atacante sin autenticación puede ejecutar código en el servidor mientras la actualización está en curso.

• CVE: CVE-2026-119977, publicada en NVD el 31 de octubre de 2026 y analizada el 4 de noviembre.
• Debilidad: CWE-367 (Time-of-check Time-of-use Race Condition).
• CVSS 3.1: 8.1, gravedad alta, asignado por Wordfence, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H: ataque por red, complejidad alta, sin privilegios ni interacción del usuario, impacto alto en confidencialidad, integridad y disponibilidad.
• Código afectado: las referencias de NVD señalan, en la 7.1.3, los archivos class-core-upgrader.php, class-wp-upgrader.php y update-core.php en wp-admin/includes/, además de wp-admin/setup-config.php; las correcciones de la 7.1.4 están en class-wp-upgrader.php y update-core.php.
• Catálogo KEV: añadida el 3 de noviembre de 2026; para las agencias federales estadounidenses el plazo para actuar es el 6 de noviembre de 2026. El uso en campañas de ransomware figura como «desconocido».
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application).

Los avisos disponibles no describen la cadena de ataque completa, no incluyen indicadores de compromiso y no dicen quién está explotando el fallo.

Las versiones corregidas, rama por rama

El 30 de octubre solo sabíamos que la corrección se había llevado a las ramas anteriores, hasta la 4.7. La ficha de NVD indica ahora, para cada rama, la primera versión no vulnerable:

• ramas 4.x: 4.7.39, 4.8.34, 4.9.35;
• ramas 5.x: 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20;
• ramas 6.x: 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11;
• ramas 7.x: 7.0.8, 7.1.4.

Una instalación es vulnerable si su versión es inferior a la indicada para su rama. NVD no incluye versiones anteriores a la 4.7.

El aviso del NCSC-NL

Del aviso NCSC-2026-0466 del NCSC-NL, titulado «Kwetsbaarheid verholpen in WordPress Core» (vulnerabilidad corregida en WordPress Core), solo hemos podido leer el título: el texto no estaba disponible. El título lleva la clasificación [L/H], que en el esquema del NCSC-NL indica una probabilidad de abuso baja (L) y un daño posible alto (H). CISA, el día anterior, había registrado la explotación activa: quien fija las prioridades debe tener en cuenta ambas indicaciones.

Impacto para las empresas europeas e italianas

Con la inclusión en el catálogo KEV, el fallo pasa de los intentos observados por un proveedor de seguridad a una vulnerabilidad explotada reconocida por un organismo gubernamental: en muchos programas de gestión de vulnerabilidades eso basta para tratarla con la máxima prioridad. El ataque sigue siendo posible solo durante una actualización con el paquete completo, pero el rango de versiones afectadas, de la 4.7 a la 7.1.3, incluye también instalaciones antiguas que nadie actualiza desde hace tiempo.

Para las entidades sujetas a NIS2, la gestión de las vulnerabilidades conocidas forma parte de las medidas de seguridad exigidas; el compromiso de un sitio expuesto debe valorarse para la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN) y, si la base de datos contiene datos personales, para la notificación a la autoridad de protección de datos en 72 horas prevista por el RGPD. Centros sanitarios y administraciones públicas que usan WordPress para citas o formularios en línea deberían empezar por esos sitios.

Qué hacer ya

1. Comprueba la versión de cada instalación de WordPress, desde el escritorio o con wp core version, incluidas las de pruebas y las gestionadas por proveedores externos, y compárala con la lista por rama.
2. Actualiza a la versión corregida de tu rama o a la 7.1.4, siguiendo las indicaciones del fabricante, como pide CISA. Si no es posible aplicar la corrección, CISA indica dejar de usar el producto.
3. Retoma las medidas del artículo del 30 de octubre: bloquea el acceso web y la ejecución de PHP en la carpeta de staging antes de actualizar, busca en los registros del servidor web peticiones a setup-config.php fuera de su ruta normal y verifica la integridad con wp core verify-checksums.
4. Si encuentras rastros: aísla el sitio, conserva los registros, restaura desde una copia limpia, cambia contraseñas, credenciales de la base de datos y claves secretas y, después, valora las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos, incluidos los sitios WordPress olvidados. ARX Shield controla las vulnerabilidades abiertas de las máquinas monitorizadas. ARX Sentry recoge registros y eventos de los servidores monitorizados, útiles para buscar las peticiones a las rutas de staging.

Última actualización: 4 de noviembre de 2026