WordPress Core: CVE-2026-119977 ya explotada en ataques

Qué es CVE-2026-119977 y a quién afecta

El catálogo de vulnerabilidades del NIST (NVD) recoge desde el 31 de octubre de 2026 una nueva brecha en WordPress Core: la CVE-2026-119977, una condición de carrera de tipo time-of-check time-of-use (TOCTOU, CWE-367). El fallo tiene su origen en las rutas de preparación predecibles y accesibles desde la web que WordPress utiliza durante las actualizaciones completas del núcleo. En la práctica, un atacante no autenticado puede aprovechar la ventana de actualización para ejecutar código en el servidor.

Según la descripción de la NVD, el problema afecta a las versiones 4.7 hasta 7.1.3 de WordPress Core. La gravedad asignada es CVSS 3.1 de 8.1 (HIGH), con un vector que refleja que se puede explotar en red, sin privilegios previos y sin interacción del usuario. Es decir, no hablamos de un fallo crítico según la escala CVSS, pero sí de una vulnerabilidad grave que conviene tratar con seriedad, sobre todo en webs de pymes, tiendas online y portales corporativos que todavía corren versiones antiguas del CMS.

En España, y en particular en Cataluña, una parte importante de los comercios electrónicos y webs corporativas de Lleida, Girona, Tarragona y Barcelona siguen apoyadas en WordPress. Muchas de ellas no actualizan el núcleo con la frecuencia recomendada, lo que amplía la superficie de exposición.

Por qué es urgente: ya se explota en ataques reales

La CISA añadió la CVE-2026-119977 a su catálogo Known Exploited Vulnerabilities (KEV) el 3 de noviembre de 2026. Eso significa que la agencia estadounidense tiene constancia de su explotación activa en ataques reales, no solo de su existencia teórica. Para las agencias federales de EE. UU., la CISA fijó un plazo de corrección hasta el 6 de noviembre de 2026, apenas tres días después de la inclusión.

La instrucción de la CISA es clara: aplicar las mitigaciones siguiendo las indicaciones del fabricante, evaluar la exposición a internet de cada activo y, si no hay mitigación disponible, valorar la discontinuidad del servicio. Aunque ese plazo formal afecta a organismos federales estadounidenses, sirve como referencia para cualquier empresa: cuando una vulnerabilidad entra en el catálogo KEV, el margen de reacción se mide en horas, no en semanas. De momento no consta su uso en campañas de ransomware, pero eso no reduce el riesgo de ejecución remota de código.

Qué hacer hoy en tu web WordPress

• Comprueba la versión del núcleo. Si tu instalación está entre la 4.7 y la 7.1.3, estás dentro del rango afectado. Revisa también si hay actualizaciones pendientes o bloqueadas por falta de mantenimiento.
• Aplica la actualización o mitigación que indique el aviso oficial del fabricante. No improvises parches manuales ni copies fragmentos de código de foros: sigue las indicaciones publicadas por el equipo de WordPress y verifica que la actualización se completa correctamente.
• Revisa indicios de intrusión. Busca archivos extraños en el servidor, usuarios administradores no reconocidos, cambios en el tema o en plugins, y tráfico anómalo coincidente con ventanas de actualización.
• Reduce lo expuesto a internet. Restringe el acceso al panel de administración, limita los permisos de escritura en el sistema de archivos y revisa qué servicios quedan visibles desde fuera.
• Refuerza el control de cambios. Programa las actualizaciones del núcleo en franjas controladas y con supervisión, para que la ventana de actualización no quede abierta sin vigilancia.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Detectar a tiempo una vulnerabilidad como esta exige algo más que pulsar el botón de actualizar. En ALMC trabajamos con pymes, comercios online y equipos de IT reducidos que necesitan cubrir ese hueco sin montar un departamento de seguridad completo. Empezamos por una auditoría de seguridad y pentesting para identificar qué versiones de WordPress, PrestaShop o Joomla corren en tus servidores y qué puntos quedan expuestos a internet.

A partir de ahí aplicamos hardening de servidores, revisamos permisos y rutas accesibles, y establecemos un mantenimiento continuo de actualizaciones y parches de seguridad para que el núcleo y los plugins no se queden atrás. Si sospechas que tu web ya ha sido comprometida, nos encargamos de la respuesta a incidentes y de la reparación de webs hackeadas, con monitorización posterior para evitar reincidencias. Todo ello alineado con las exigencias del RGPD y la LOPDGDD, porque una brecha no es solo un problema técnico: también es una obligación legal de notificación y gestión.

Relacionado

• Ivanti Connect Secure: fallo grave CVE-2026-104935 ya explotado
• CVE-2026-96951 en Windows Shell: vulnerabilidad explotada
• CVE-2026-92097: fallo crítico en Click to Chat for WhatsApp
• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.