WordPress 7.1.4 y CVE-2026-119977: la ventana de actualización es la superficie de ataque

Las noticias de seguridad de WordPress suelen empezar por un plugin. Esta no.

CVE-2026-119977 es una condición de carrera de tipo time-of-check time-of-use (TOCTOU) en el mecanismo de actualización del núcleo de WordPress. Afecta a las versiones 4.7 a 7.1.3 y puede permitir que un atacante sin autenticación ejecute código PHP durante una actualización completa del núcleo. NVD describe la causa como rutas temporales de actualización predecibles y accesibles desde la web. La versión corregida, WordPress 7.1.4, se publicó el 28 de octubre de 2026.

El 3 de noviembre, CISA añadió el fallo a su catálogo de vulnerabilidades en explotación conocida con base en evidencia de explotación activa.

Qué ocurre realmente durante una actualización

Cuando WordPress realiza una actualización completa del núcleo, prepara archivos en directorios temporales antes de moverlos a su lugar. Partes de esa ubicación temporal pueden predecirse y alcanzarse desde la web mientras la actualización está en curso. Si un atacante solicita el instalador preparado durante esa ventana, puede llegar a ejecutar código en el servidor.

La ventana puede ser corta, a veces de segundos. Eso no es tranquilizador. Los escáneres automatizados no necesitan una ventana grande; necesitan enviar solicitudes de forma continua y esperar a que una instalación esté a mitad de actualización.

Wordfence registró más de 18 500 solicitudes dirigidas a rutas setup-config.php preparadas durante las primeras 21 horas tras la divulgación. Los atacantes están buscando exactamente este comportamiento.

Por qué debería importar a las pymes

Es un fallo del núcleo, no un problema de un plugin premium. Afecta a sitios que por lo demás están bien mantenidos, y es especialmente relevante para:

• Sitios con actualizaciones automáticas en segundo plano activadas. La actualización protege el sitio, pero la ventana de actualización es lo que se ataca.
• Instalaciones heredadas que aún reciben parches de seguridad pero no se monitorean.
• Copias del entorno de pruebas y desarrollo con versiones antiguas y accesibles desde internet.
• Hosting gestionado donde el cliente asume que el proveedor parcheó, pero nadie verificó la versión.

La pregunta práctica no es solo "¿estamos en 7.1.4?". Es "¿podemos demostrar que la actualización terminó y si algo intentó explotar la ventana mientras corría?".

Una respuesta práctica

1. Actualiza a WordPress 7.1.4 o posterior. Hazlo en todos los entornos, no solo en producción.
2. Verifica la versión desde el propio sitio. Un trabajo de actualización automática exitoso no es prueba. Comprueba la versión en el panel o con wp core version.
3. Inventaria los sitios olvidados. Los sitios antiguos de marketing, los micrositios de clientes y los entornos de pruebas son el hueco habitual.
4. Revisa los registros del patrón de ataque. Busca en los logs del servidor web y del WAF solicitudes a wp-content/upgrade y a rutas setup-config.php preparadas alrededor de las horas de actualización.
5. Busca señales de post-explotación. Archivos PHP inesperados, cuentas de administrador nuevas, plugins o temas no autorizados, configuración modificada y conexiones salientes del servidor web.
6. Trata el WAF como cobertura temporal. Bloquear solicitudes directas a archivos PHP preparados ayuda, pero no sustituye el parche.

Si sospechas un compromiso, aísla el sitio, conserva los registros y toma una instantánea antes de limpiar. Después rota las credenciales de base de datos, las sales y cualquier clave de API que el sitio pudiera leer.

La lección más allá de WordPress

La vulnerabilidad vive en el proceso de actualización, que normalmente se trata como una tubería de confianza. El patrón se generaliza: gestores de paquetes, scripts de despliegue, restauraciones de backup y herramientas de migración crean estados temporales que rara vez se prueban como superficie de ataque.

Una pregunta útil de auditoría para cualquier aplicación web es: "¿Qué es alcanzable mientras el sistema se instala, se restaura o migra?". Si la respuesta es "un directorio temporal con archivos ejecutables", eso merece un control.

Dónde encaja una auditoría

El Diagnóstico de Exposición Web de Izkuna revisa la superficie externa, incluidas instalaciones de CMS desactualizadas y entornos olvidados, en tres días al precio de lanzamiento actual de USD 300. La Auditoría Web Express añade una revisión de cinco días de autenticación, actualizaciones y configuración del servidor a USD 600 de lanzamiento.

Parchear es el primer paso. La evidencia de que el parche está activo y de que nadie usó la ventana es el segundo.

Fuentes

• NVD: CVE-2026-119977
• CISA: añade una vulnerabilidad en explotación conocida al catálogo, 3 de noviembre de 2026
• Wordfence: versión de seguridad WordPress 7.1.4
• SOC Prime: análisis de CVE-2026-119977

Si necesitas saber si tu sitio está expuesto, empieza con un diagnóstico gratuito de 30 minutos.