El 28 de octubre de 2026 el equipo de seguridad de WordPress publicó WordPress 7.1.4 y versiones de seguridad backporteadas para ramas anteriores para corregir varias fallas, entre ellas una vulnerabilidad de ejecución remota de código (RCE) en el núcleo que puede aprovecharse durante el proceso de actualización.
Qué es la vulnerabilidad y cómo funciona
La falla, identificada públicamente como CVE-2026-119977, afecta a instalaciones de WordPress desde la versión 4.7 hasta la 7.1.3. Según los informes, un atacante no autenticado puede provocar la ejecución de código en el servidor aprovechando una condición que se da durante la «ventana de actualización» del núcleo: el breve periodo en el que archivos temporales o procesos intermedios están accesibles mientras WordPress descarga y aplica la actualización.
En términos prácticos, esto significa que si un sitio está en proceso de actualizar el núcleo y no ha aplicado el parche, un actor malicioso podría inyectar código que el sistema ejecutaría con los permisos del proceso de PHP/servidor web, lo que potencialmente permite el control total del sitio.
Exploraciones activas y riesgo real
Investigadores de seguridad —citados en un informe de Wordfence— han observado sondas y exploraciones dirigidas a detectar instalaciones vulnerables que permiten explotar esta ventana de actualización. Estas actividades indican que los atacantes están intentando identificar sitios que no aplicaron los parches y que podrían ser aprovechables en tiempo real.
La presencia de exploraciones activas eleva el riesgo: no se trata solo de una falla teórica, sino de una vulnerabilidad que está siendo buscada y potencialmente explotada en la práctica.
Quiénes están afectados
- Sitios WordPress con versiones entre 4.7 y 7.1.3 que no hayan recibido los parches publicados el 28 de octubre de 2026.
- Instalaciones en las que el proceso de actualización puede ser iniciado desde un entorno accesible públicamente y donde no existen protecciones adicionales (por ejemplo, restricciones de IP, WAF o comprobaciones de integridad).
Qué deben hacer administradores y dueños de sitios
- Actualizar inmediatamente: instalar WordPress 7.1.4 o la versión de seguridad backporteada correspondiente para su rama. La actualización elimina la ventana de actualización vulnerable.
- Verificar integridad: revisar archivos recientes y activación de plugins/temas tras la actualización para detectar modificaciones no autorizadas.
- Revisar registros: buscar accesos o solicitudes inusuales durante las actualizaciones anteriores y cualquier ejecución de procesos PHP no prevista.
- Aplicar mitigaciones adicionales: si no es posible actualizar de inmediato, limitar el acceso al directorio de actualizaciones mediante reglas del servidor (por ejemplo, denegar accesos públicos a rutas temporales) o usar un WAF para bloquear patrones de exploración identificados por su proveedor de seguridad.
- Hacer copias de seguridad: disponer de backups recientes antes de actualizar para poder restaurar en caso de compromiso.
Cómo interpretar la gravedad técnica
Una RCE en el núcleo es grave porque el código afectado corre con los mismos permisos que el proceso web o PHP en el servidor. Si un atacante logra ejecutar comandos o escribir ficheros, puede instalar puertas traseras, crear usuarios administrativos falsos en WordPress, modificar contenido o pivotar a otras partes del servidor.
No obstante, el riesgo concreto depende de la configuración del servidor y de medidas de protección adicionales: entornos con políticas de aislamiento, WAF correctamente configurados o restricciones de acceso reducen la probabilidad de explotación exitosa.
Conclusión
La combinación de un fallo de ejecución remota durante la ventana de actualización y exploraciones activas convierte a CVE-2026-119977 en una amenaza que debe tratarse de inmediato. Administradores y propietarios de sitios WordPress deben aplicar los parches del 28 de octubre de 2026, revisar sus entornos y considerar mitigaciones temporales si no pueden actualizar de forma inmediata.
Lee también:
- WordPress 7.2 Beta 4 llega con actualizaciones selectivas de traducción y corrección en Visual Revisions
- CloudLinux resume PressConf EU 2026: debates sobre IA, seguridad y el futuro de WordPress
Fuente: Blog – Wordfence
