WordPress: la falla que se abre al actualizar
CVE-2026-119977 se explota justo mientras WordPress se actualiza. Qué versión instalar, cómo actualizar sin quedar expuesto y qué revisar después.
La recomendación de siempre es actualizar. Esta vez sigue siendo correcta, pero con un matiz: la falla se explota justamente durante la actualización del núcleo de WordPress. Hay que actualizar ya, y conviene cerrar primero una carpeta. Estado público al 4 de noviembre de 2026.
Qué pasó
La falla se registra como CVE-2026-119977 y afecta al núcleo de WordPress. La agencia de ciberseguridad de Estados Unidos (CISA) la agregó el 3 de noviembre a su catálogo de vulnerabilidades explotadas, con plazo hasta el 6 de noviembre para las agencias federales. Eso confirma ataques reales, aunque ni CISA ni las fuentes revisadas nombran sitios comprometidos.
- Cómo funciona. Durante una actualización completa, WordPress deja por un momento archivos de instalación en rutas predecibles y accesibles desde internet. Quien llegue a ellos en ese momento puede ejecutar código en el servidor sin usuario ni contraseña, según Qualys y el análisis de Umut Bayram, de Picus Security, quien la reportó.
- Gravedad. CVSS 8,1, según Rapid7. No llega más alto porque el ataque es difícil de ejecutar: hay que acertar con un momento muy breve. SOC Prime dice que la ventana puede durar solo segundos.
- Intentos de ataque. Wordfence registró más de 18.500 peticiones a esas rutas en las primeras 21 horas, según Qualys y SOC Prime. Los intentos bloqueados en 24 horas varían según quién los cite: 12.632 en Qualys, 13.095 en BleepingComputer y cerca de 59.000 en GBHackers, citado por SOC Prime. Son intentos, no sitios comprometidos.
Qué versión instalar
La corrección llegó con WordPress 7.1.4, publicada el 28 de octubre.
| Rama instalada | Versión corregida |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| Ramas más antiguas, hasta 4.7 | Tienen su propia versión corregida (por ejemplo, 4.7.39) |
| 4.6 o anterior | Sin corrección: hay que migrar |
La tabla sigue las listas de Qualys y Safeguard. Si su sitio está en una rama antigua, lo mejor es llevarlo a una versión actual, no solo a su último parche.
Por qué no basta con esperar la actualización automática
Según Safeguard, cada actualización del núcleo abre esa ventana, ya sea desde el panel o en segundo plano. Y tanto Safeguard como Picus sostienen que la propia actualización a 7.1.4 pasa una última vez por la ventana. Safeguard aclara que es su lectura del código, no una declaración del proyecto WordPress.
El riesgo de ese momento es acotado y quedarse sin actualizar es peor. Pero en este caso el orden importa.
Cómo actualizar
- Respaldar archivos y base de datos, y confirmar que el respaldo se puede restaurar.
- Bloquear el acceso web a `wp-content/upgrade/` en la configuración del servidor. Picus trae las reglas para nginx y Apache, y advierte que el archivo `.htaccess` no debe ponerse dentro de esa carpeta. Compruebe que una petición a esa ruta responda con error 403.
- Actualizar a la versión corregida de su rama.
- Comprobar en el panel que la versión instalada sea la correcta y que el sitio funcione.
- Dejar el bloqueo puesto. Safeguard recomienda mantenerlo y probar la regla antes en un ambiente de pruebas, si lo tiene.
Un cortafuegos de aplicaciones web (WAF) ayuda, pero SOC Prime advierte que no reemplaza el parche y que hay que comprobar que realmente inspeccione las peticiones directas a esos archivos. Si su sitio está en un hosting administrado sin acceso a la configuración, pregunte a su proveedor si ya aplicó el bloqueo y la actualización.
Qué revisar después
CISA no publicó indicadores de compromiso. Safeguard y SOC Prime proponen revisar, a partir de cómo funciona la falla:
- Peticiones a `/wp-content/upgrade/` en los registros del servidor, sobre todo respuestas exitosas a `setup-config.php` o `install.php`.
- Archivos PHP en `wp-content/upgrade/` o en la carpeta de archivos subidos.
- Cambios inesperados en `wp-config.php`.
- Usuarios administradores nuevos.
La revisión debería cubrir al menos desde el 30 de octubre, fecha de los primeros intentos que recoge SOC Prime. Si encuentra alguna de estas señales, no se limite a actualizar: trate el sitio como comprometido, conserve los registros, restaure desde un respaldo limpio y cambie las contraseñas y claves.
De paso: revise sus plugins
Esta semana también se informó de intentos de ataque contra CryptoPayment Gateway, un plugin de pagos con criptomonedas ya retirado del directorio oficial, según The Hacker News. La falla, CVE-2026-81648, tiene CVSS 10 y afecta a las versiones 1.2.1 y 1.2.2, según OpenCVE, y no tiene corrección. Si lo usa, desinstálelo, cambie las claves de las billeteras y revise los cambios recientes.
Es un buen momento para revisar todos sus plugins: los que ya no reciben actualizaciones no van a recibir tampoco el próximo parche.
Preguntas frecuentes
¿Debo actualizar aunque la actualización sea el momento de riesgo? Sí. La ventana es muy breve y seguir en una versión sin corregir deja el problema para cada actualización futura. Lo recomendable es bloquear primero la carpeta y luego actualizar.
¿Mi sitio ya se actualizó solo, estoy a salvo? Con una versión corregida, la falla ya no se puede explotar en las próximas actualizaciones, pero no se descarta que haya ocurrido antes. Conviene revisar lo indicado arriba.
¿Cuánto tiempo tengo? Los ataques ya están en curso. El plazo del 6 de noviembre rige para las agencias federales de Estados Unidos, pero sirve de referencia: esto se resuelve en días, no en semanas.
¿Un WAF me protege? Ayuda, pero no reemplaza el parche.
¿Y si uso una versión 4.6 o anterior? No hay corrección. Hay que migrar a una versión con soporte.
Fuentes
- CISA, catálogo de vulnerabilidades explotadas, archivo CSV oficial (CVE-2026-119977: incorporada el 3 de noviembre de 2026, plazo el 6 de noviembre de 2026).
- WordPress, «WordPress 7.1.4» (28 de octubre de 2026).
- Picus Security, Umut Bayram, «CVE-2026-119977: When Updating WordPress Becomes the Vulnerability» (4 de noviembre de 2026).
- Qualys, «CISA Warns of WordPress Vulnerability Exploited in the Wild» (4 de noviembre de 2026).
- BleepingComputer, Sergiu Gatlan, «CISA flags WordPress RCE flaw as actively exploited in attacks» (4 de noviembre de 2026).
- SOC Prime, «CVE-2026-119977: WordPress Core RCE Flaw Exploited During Software Upgrades» (4 de noviembre de 2026).
- Safeguard, «WordPress CVE-2026-119977 on KEV: Find Every Install, Patch to 7.1.4» (4 de noviembre de 2026).
- Rapid7, ficha de CVE-2026-119977 (31 de octubre de 2026).
- The Hacker News, sobre el plugin CryptoPayment Gateway (noviembre de 2026).
- OpenCVE, ficha de CVE-2026-81648.
Contacto
Si necesita actualizar o revisar el sitio WordPress de su organización, ITLab puede ayudarle. Contáctenos.
¿Necesitas a alguien que se haga cargo de tu tecnología?
Cuéntanos qué necesitas ordenar, proteger o resolver. La primera conversación no tiene costo: evaluamos si nuestro modelo te sirve y cuáles serían los siguientes pasos.
Conversemos sobre tu empresa