La Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos (CISA) ha añadido una vulnerabilidad del núcleo de WordPress a su catálogo de vulnerabilidades explotadas conocidas (KEV), al existir pruebas de que está siendo aprovechada de forma activa.
El fallo, de gravedad alta y seguido como CVE-2026-119977 (puntuación CVSS de 8.1), es una condición de carrera de tiempo de comprobación y tiempo de uso (TOCTOU) que podría explotarse para lograr la ejecución de código arbitrario en los servidores afectados. Las actualizaciones que lo corrigen se publicaron a finales del mes pasado.
"El núcleo de WordPress contiene una vulnerabilidad de condición de carrera de tiempo de comprobación y tiempo de uso (TOCTOU) que podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización. Esto se debe a rutas de preparación predecibles y accesibles desde la web que se utilizan durante las actualizaciones completas del paquete del núcleo", señaló CISA.
Los detalles del fallo salieron a la luz la semana pasada, cuando Wordfence indicó que su explotación no requiere disponer de una cuenta en el sitio. No obstante, el atacante debe aprovechar una breve ventana durante una actualización completa del núcleo que podría permitir la ejecución de código sin autenticación.
La empresa de seguridad de WordPress registró más de 18.500 solicitudes dirigidas a rutas de instalación "setup-config.php" preparadas durante las primeras 21 horas posteriores a la divulgación pública. Hasta el momento de la redacción, se han bloqueado 12.632 ataques que intentaban explotar la vulnerabilidad en las últimas 24 horas.
Los datos de telemetría de Previdian muestran que se han registrado tres intentos de explotación contra sus sensores honeypot desde una dirección IP geolocalizada en el Reino Unido. Los eventos de explotación se observaron el 30 de octubre de 2026.
Con la explotación ahora confirmada oficialmente por CISA, las agencias del Poder Ejecutivo Civil Federal (FCEB) disponen de plazo hasta el 6 de noviembre de 2026 para aplicar las correcciones.
Deja una respuesta