WordPress: atacantes explotan un fallo del propio núcleo durante las actualizaciones
- CISA ha confirmado que se está explotando CVE-2026-119977, un fallo del núcleo de WordPress (CVSS 8,1) que permite ejecutar código en el servidor.
- El ataque no necesita cuenta y aprovecha una ventana breve durante una actualización completa del núcleo.
- Qué hacer: aplicar las correcciones publicadas a finales de octubre y revisar el sitio.
La agencia estadounidense CISA ha confirmado que hay atacantes explotando CVE-2026-119977, un fallo en el núcleo de WordPress con puntuación 8,1. Se trata de una condición de carrera: el atacante aprovecha un instante concreto durante la actualización para conseguir ejecutar código en el servidor, y no necesita tener cuenta en la web.
Cómo funciona el ataque
Según CISA, el problema está en las rutas de preparación, predecibles y accesibles desde internet, que se usan durante las actualizaciones de paquete completo. La firma Wordfence registró más de 18.500 peticiones dirigidas a rutas de instalación preparadas en las primeras 21 horas tras hacerse público el fallo, y 12.632 ataques bloqueados en las últimas 24 horas en el momento de su informe. Las correcciones se publicaron a finales de octubre de 2026.
Qué hacer si tienes una web con WordPress
- Actualiza WordPress a la última versión disponible; consulta el aviso de seguridad oficial para ver la versión exacta que corrige tu rama.
- Activa las actualizaciones automáticas del núcleo y de los plugins.
- Revisa que no haya archivos sospechosos en la raíz del sitio ni usuarios administradores que no reconozcas.
- Ten una copia reciente de la web fuera del servidor, por si hay que restaurar.
¿Tu web de WordPress está protegida?
Revisamos versión, plugins y copias de seguridad, y dejamos las actualizaciones bajo control.
Infórmate