CVE-2026-119977: se está explotando un fallo en la actualización de WordPress; actualiza a la 7.1.4

En qué consiste el fallo

CVE-2026-119977 es una condición de carreraun fallo que depende del momento: dos acciones ocurren casi a la vez y el atacante "gana la carrera" actuando en el hueco entre una comprobación y su uso en el código con el que WordPress se actualiza a sí mismo. El registro CVE, redactado por Wordfence como CNACVE Numbering Authority, una organización autorizada para asignar identificadores CVE y redactar la descripción oficial, dice que el problema viene de "rutas de preparación predecibles y accesibles desde la web" que se usan en las actualizaciones completas del núcleo. Dicho de otro modo, mientras WordPress descomprime la nueva versión, los archivos temporales están en una dirección que alguien de fuera puede adivinar y abrir desde internet.

Eso da a un atacante sin autenticar una ventana corta para ejecutar código en el servidor. El tipo de debilidad es CWE-367, del momento de la comprobación al momento del uso (TOCTOU).

Qué gravedad tiene

Wordfence le asignó una puntuación base CVSS 3.1 de 8,1 (alta). El vector es AV:N/AC:H/PR:N/UI:N: se puede atacar por red, no requiere privilegios ni acción del usuario, pero la complejidad es alta porque el atacante tiene que acertar con la ventana de actualización.

El 3 de noviembre, CISA incluyó CVE-2026-119977 en su catálogo de vulnerabilidades explotadas conocidas (KEV)la lista pública de CISA con fallos de los que hay pruebas de uso en ataques reales; las agencias federales de EE. UU. deben corregirlos en un plazo por "pruebas de explotación activa". Las agencias civiles federales de EE. UU. tenían hasta el 6 de noviembre para corregirlo.

¿Prueba de concepto o ataques reales?

Que CISA lo haya incluido en el catálogo significa que tiene pruebas de ataques reales. Una prueba de conceptocódigo de demostración que enseña que un fallo se puede explotar, a menudo publicado por investigadores; por sí solo no significa que se haya atacado a nadie pública sería otro hecho, y no hemos encontrado código de explotación publicado. CISA no ha identificado a los atacantes ni ha dicho cuántos sitios se vieron comprometidos. En su propia evaluación, la agencia considera que el fallo no es automatizable, algo coherente con un ataque que depende del momento.

Qué hacer ahora

1. Comprueba tu versión. En el área de administración, ve a Escritorio > Actualizaciones. Si aparece cualquier versión entre la 4.7.0 y la 7.1.3, estás en el rango afectado.
2. Actualiza a la 7.1.4. Según WordPress, los sitios con actualizaciones automáticas en segundo plano empezarán solos, así que confirma que la actualización terminó.
3. En una rama antigua, WordPress dice que está llevando la corrección a todas las ramas hasta la 4.7 y que irá saliendo a medida que esté lista. Solo la versión más reciente tiene soporte activo, por lo que la 7.1.4 es el destino más seguro.
4. Si tu sitio hizo una actualización del núcleo antes de la 7.1.4, busca señales de intrusión: archivos PHP desconocidos en las carpetas de WordPress, cuentas de administrador nuevas o cambios que no hiciste.

WordPress 7.1.4 corrigió 22 problemas de seguridad en total, la mayoría de cross-site scripting. Sus notas de versión describen este como "una condición de carrera durante las actualizaciones del núcleo que podía llevar a ejecución remota de código", y atribuyen el hallazgo al investigador Umut Bayram.

Los teléfonos también recibieron su lote de correcciones esa semana. Nuestro análisis del boletín de seguridad de Android de noviembre de 2026 explica CVE-2026-58868, el fallo más grave del boletín.