La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha publicado una alerta para las agencias federales en la que señala que los atacantes han empezado a aprovechar en entornos reales una vulnerabilidad de alta gravedad en WordPress que había sido corregida poco antes.
El fallo, identificado como CVE-2026-119977, reside en el núcleo de WordPress y procede de una condición de carrera del tipo Time-of-check Time-of-use (TOCTOU). Lo notificó el investigador Umut Bayram, de Picus Security. Su explotación con éxito permite a actores de amenazas remotos y sin privilegios ejecutar código en el servidor mediante ataques de alta complejidad, aprovechando rutas de preparación predecibles y accesibles desde la web que se utilizan durante las actualizaciones completas del paquete del núcleo.
El equipo de seguridad de WordPress describió el problema el 28 de octubre, al publicar la versión 7.1.4 con los parches correspondientes: una debilidad en el proceso de actualización de WordPress que puede derivar en ejecución remota de código durante la ventana de actualización. En ese mismo anuncio recomendó actualizar los sitios de inmediato por tratarse de una versión de seguridad.
CISA confirmó el martes la explotación activa de CVE-2026-119977 y añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés). Además, ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) proteger sus sistemas antes del viernes, en cumplimiento de la Directiva Operativa Vinculante (BOD) 26-04. La agencia advirtió de que este tipo de vulnerabilidad constituye un vector de ataque habitual para actores cibernéticos maliciosos y supone riesgos importantes para la empresa federal.
Aunque la BOD 26-04 está dirigida únicamente a las agencias federales estadounidenses, CISA instó a todos los defensores de redes, incluidos los del sector privado, a priorizar el parcheo de esta vulnerabilidad para proteger sus servidores.
CISA no ofreció más detalles sobre los atacantes que explotan CVE-2026-119977 en entornos reales. Sin embargo, la firma de seguridad WordPress Wordfence indicó en una actualización de su aviso publicada durante el fin de semana que había bloqueado 13.095 ataques dirigidos a esta vulnerabilidad en las 24 horas anteriores.
En julio, el equipo de seguridad de WordPress también parcheó una cadena de vulnerabilidades críticas en el núcleo de WordPress, conocida como wp2shell, que podía aprovecharse para desplegar webshells y tomar el control de servidores sin parchear mediante la explotación de una vulnerabilidad de confusión de rutas por lotes en la API REST (CVE-2026-63030) y un fallo de inyección SQL (CVE-2026-60137). Los exploits públicos de wp2shell se publicaron un día después de que los parches estuvieran disponibles, y los atacantes comenzaron a comprometer servidores sin parchear pocos días después para desplegar webshells persistentes e instalar plugins maliciosos.
Un actor de amenazas de habla china también utilizó la cadena de exploits wp2shell en septiembre para robar datos sensibles de más de 18.500 registros almacenados en bases de datos de backend pertenecientes a pequeñas empresas y organizaciones gubernamentales.
Contexto y recomendaciones
La inclusión de CVE-2026-119977 en el catálogo KEV subraya la urgencia de aplicar las actualizaciones disponibles. Los administradores de sitios WordPress, tanto en el ámbito público como privado, deberían verificar que sus instalaciones se encuentran en la versión 7.1.4 o posterior y revisar sus registros en busca de indicios de explotación durante las ventanas de actualización.
Deja una respuesta