Actualizar WordPress suele ser la forma de protegerte. Por eso llama la atención esta falla: los atacantes la aprovechan justo en los segundos en que el sitio se está actualizando.
La agencia de ciberseguridad de Estados Unidos, CISA, confirmó el 3 de noviembre de 2026 que ya se está usando en ataques reales. Si tienes un sitio con WordPress, conviene revisar tu versión hoy.
¿Qué pasó?
La falla se llama CVE-2026-119977 y tiene una calificación de 8.1 sobre 10 en la escala de gravedad CVSS. CISA la agregó a su catálogo de vulnerabilidades explotadas y les dio a las agencias federales de su país hasta el 6 de noviembre de 2026 para corregirla.
El problema es una condición de carrera, es decir, un error que depende del orden y el momento exactos en que ocurren dos cosas. Durante una actualización completa, WordPress desempaca los archivos nuevos en una carpeta temporal con una ruta predecible dentro de wp-content/upgrade. Si esa carpeta se puede abrir desde internet, un atacante sin cuenta puede pedir el instalador que viene adentro y lograr que el servidor ejecute su código.
WordPress publicó la corrección en la versión 7.1.4, el 28 de octubre de 2026, y acredita el hallazgo al investigador Umut Bayram. El proyecto llevó el parche también a las ramas anteriores que todavía reciben correcciones de seguridad, hasta la 4.7.
La empresa de seguridad Wordfence reportó más de 18,500 peticiones dirigidas a esas rutas del instalador en apenas 21 horas después de que se dio a conocer el problema.
¿Por qué te importa?
En pruebas de laboratorio, esa carpeta solo existió unos segundos, así que el ataque no es fácil. Los atacantes lo compensan con programas automáticos que preguntan una y otra vez, a la espera de que algún sitio comience a actualizarse.
Si administras varios sitios, el riesgo se multiplica: cada actualización completa pendiente es una oportunidad. Y si el ataque funciona, quien lo lanza puede ejecutar código en tu servidor con los permisos del servidor web, sin necesidad de una contraseña.
¿Qué puedes hacer?
- Entra al panel de WordPress, abre la sección de Actualizaciones y confirma tu versión. No des por hecho que la actualización automática ya terminó.
- Actualiza a la 7.1.4 o a la versión con parche de tu rama. Si usas una versión anterior a la 4.7, ya no recibe correcciones y toca migrar.
- Si no puedes actualizar hoy, pídele a tu proveedor de hosting que bloquee el acceso web a la carpeta
wp-content/upgrade. - Después de actualizar, busca archivos PHP que no reconozcas en esa carpeta y cuentas de administrador que no hayas creado.
- Si manejas sitios de clientes, revisa uno por uno: un hosting administrado también puede tener instalaciones atrasadas.
Sigue leyendo
- Guía para desarrollar en WordPress en 2026: por dónde empezar
- Roban llaves de UpdraftCentral: así revisas tu sitio WordPress
Fuentes
- CISA: CISA Adds One Known Exploited Vulnerability to Catalog
- WordPress.org: WordPress 7.1.4
- Daily CyberSecurity: WordPress Core Vulnerability Exploited in the Wild
- Elets eGov: CISA confirms active exploitation of WordPress Core race condition flaw
Imagen de portada: foto de SHVETS production en Pexels.