Atacantes ya intentan explotar una falla de WordPress que se abre al actualizar

Atacantes empezaron a buscar la falla de ejecución remota de códigoVulnerabilidad o ataque, conocido por la sigla en inglés RCE, que permite a alguien ejecutar sus propias instrucciones en un equipo o servidor ajeno a distancia, por lo general a través de internet. que WordPress corrigió el 28 de octubre en su versión 7.1.4, y Wordfence, el servicio de seguridad para WordPress de la empresa Defiant, registró más de 18.500 pedidos dirigidos a las rutas vulnerables en las primeras 21 horas, según su análisis de la actualización. El primero llegó nueve minutos después de que Wordfence activara su regla de bloqueo, el 28 de octubre a las 20:30 UTC (17:30 en Buenos Aires y São Paulo, 15:30 en Bogotá y Lima, 14:30 en Ciudad de México).

La falla se puede atacar sin tener una cuenta en el sitio, pero solo durante los segundos en que WordPress desempaqueta una actualización completa del núcleo.

Qué es la falla

En simple, al actualizarse, WordPress copia los archivos nuevos en una carpeta temporal con un nombre que se puede adivinar y que, en muchos servidores, queda accesible desde internet. Esa copia incluye el instalador de WordPress. Si un atacante llega al instalador justo en ese momento, puede terminar ejecutando código en el servidor.

El anuncio de WordPress la describe como una "debilidad en el proceso de actualización que puede llevar a la ejecución remota de código durante la ventana de actualización" y atribuye el hallazgo a Umut Bayram, investigador de Picus Security.

En la capa técnica es una condición de carreraFalla que aparece cuando el resultado de un programa depende del orden o el momento en que ocurren dos operaciones. Un atacante aprovecha el instante entre que el sistema revisa algo y lo usa para cambiarlo. en la actualización del núcleo, por la red, sin autenticación y de complejidad alta. El atacante necesita que el sitio reciba un paquete completo, que la carpeta wp-content/upgrade sea accesible por web y ejecute PHP, conocer o descubrir la ruta temporal y terminar antes de que WordPress borre esos archivos, según Wordfence y SecurityWeek. En las pruebas de laboratorio de Wordfence, esa ventana duró segundos. La corrección vuelve aleatoria la carpeta temporal, agrega un archivo índice de protección e impide que se use la configuración copiada.

Las fuentes difieren en el identificador. SecurityWeek informó el 30 de octubre que la falla no tenía CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla. asignado. Wordfence, que también es autoridad emisora de CVE, la registró como CVE-2026-119977 con un puntaje de 8,1 sobre 10, aunque al cierre de esta nota ese número todavía no figuraba en los registros públicos de CVE ni en NVDBase de datos pública del gobierno de Estados Unidos, a cargo del NIST, que registra las vulnerabilidades identificadas con un código CVE y publica su análisis y su puntaje de gravedad..

A quién afecta

• WordPress desde la versión 4.7 hasta la 7.1.3.
• Las versiones corregidas son 7.1.4 y las de seguridad de cada rama, como 7.0.8, 6.9.11 y 6.8.12, hasta 4.7.39, según Wordfence.
• WordPress 4.6 y las anteriores ya no reciben parches de seguridad.

Estado de explotación

Intentos reportados. Wordfence vio pedidos sostenidos contra las rutas del instalador temporal, setup-config.php. Dos de los orígenes más activos consultaron una y otra vez pequeños grupos de sitios durante unas 14 horas y media, un patrón que coincide con tratar de atrapar la ventana de la actualización. No todos los pedidos usaron la ruta exacta, y ninguna fuente reportó sitios comprometidos por esta vía. La falla no figura en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, en su versión del 30 de octubre.

Qué hacer

• Entrar en Escritorio, luego Actualizaciones, y confirmar que el sitio usa 7.1.4 o la versión corregida de su rama, sin dar por hecho que la actualización automática funcionó.
• Revisar pedidos inesperados a archivos PHP dentro de wp-content/upgrade, cuentas de administrador desconocidas, complementos nuevos y archivos PHP que nadie subió.
• Quien use Wordfence debe tener activa la protección extendida del cortafuegosFiltro de seguridad que se ubica delante de una aplicación web, revisa las solicitudes que recibe y bloquea las que coinciden con patrones de ataque conocidos., porque el ataque pide un archivo PHP sin cargar WordPress. La regla llega a la versión gratuita recién el 27 de noviembre.
• Actualizar los sitios en WordPress 4.6 o anteriores a una versión con soporte.

Ficha técnica

• CVE: CVE-2026-119977, asignado por Wordfence, sin registro público al 30 de octubre de 2026. SecurityWeek informó que no había CVE asignado.
• CVSS: 8,1 (alta) según Wordfence, que no publicó el vector.
• Tipo: ejecución remota de código por condición de carrera en la actualización del núcleo, sin autenticación y con complejidad alta.
• Versiones corregidas: 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 y 7.1.4.
• Aviso del fabricante: WordPress 7.1.4, publicado el 28 de octubre de 2026 a las 17:13 UTC. Según Wordfence y SecurityWeek, la versión corrige 22 fallas en total.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: no figura al 30 de octubre de 2026.