CISA confirma que atacantes explotan falla en el núcleo de WordPress

Black computer keyboard showing numeric keypad — Haberdoedas / Unsplash

La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos, CISA, ha incluido una vulnerabilidad de seguridad en el núcleo de WordPress en su catálogo de Vulnerabilidades Explotadas Conocidas, tras hallar evidencia de explotación activa.

Este fallo de alta gravedad, identificado como CVE-2026-119977 con una puntuación CVSS de 8.1, consiste en una condición de carrera de tiempo de verificación y tiempo de uso. Esta falla podría permitir que atacantes no autenticados ejecuten código arbitrario en los servidores afectados durante la ventana de actualización del software, debido a rutas de preparación predecibles y accesibles vía web.

Wordfence informó que la explotación no requiere una cuenta en el sitio, aunque sí depende de un breve periodo durante una actualización completa del núcleo. En las primeras 21 horas tras la divulgación pública, se registraron más de 18,500 solicitudes dirigidas a rutas del instalador. Asimismo, se bloquearon 12,632 ataques en las últimas 24 horas.

Previdian registró tres intentos de explotación el 30 de octubre de 2026 desde una dirección IP ubicada en el Reino Unido. Las agencias de la Rama Ejecutiva Civil Federal tienen hasta el 6 de noviembre de 2026 para aplicar los parches, los cuales fueron publicados a finales del mes pasado.