Fallo de actualización de WordPress ya explotado
CISA confirma ataques contra un fallo del núcleo de WordPress corregido en la versión 7.1.4. Qué significa para el sitio web de su empresa y qué revisar.
Si el sitio web de su empresa funciona con WordPress, conviene revisar hoy qué versión tiene. El 3 de noviembre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) incluyó un fallo del núcleo de WordPress, CVE-2026-119977, en su lista de vulnerabilidades que ya se están explotando. La corrección existe desde el 28 de octubre, con WordPress 7.1.4, así que en la mayoría de los sitios basta con actualizar. El problema es el sitio en el que nadie ha entrado en meses.
En qué consiste el fallo
Según BleepingComputer, se trata de una condición de carrera en el proceso de actualización de WordPress. Durante una actualización completa del núcleo, WordPress descomprime archivos en carpetas temporales cuya ubicación es previsible y accesible desde internet. Un atacante que acierte con ese breve intervalo podría ejecutar código en el servidor sin iniciar sesión. Es un ataque difícil, pero no requiere contraseña. Lo descubrió Umut Bayram, de Picus Security.
Al publicar la versión 7.1.4, el equipo de seguridad de WordPress lo describió como una debilidad del proceso de actualización y recomendó actualizar de inmediato. Las valoraciones de gravedad no coinciden: Webhosting.Today señala que el aviso de WordPress lo califica de bajo, mientras que el registro de Wordfence le da 8,1 sobre 10, es decir, alto.
Por qué importa la lista de CISA
La alerta de CISA indica que el fallo se añadió por pruebas de explotación activa. Las agencias federales tenían hasta el 6 de noviembre para corregirlo. Ese plazo no obliga a una empresa privada, pero confirma que los atacantes ya lo están intentando. Wordfence dijo a BleepingComputer que bloqueó 13.095 intentos en un solo día; Webhosting.Today aclara que eran sondeos y que Wordfence no describió ninguna intrusión lograda. Es el cuarto fallo del núcleo de WordPress que CISA incluye desde julio.
Qué debe hacer su empresa
- Compruebe la versión. Entre en el panel de WordPress y abra Escritorio, Actualizaciones. Debe tener la 7.1.4, o la versión de seguridad de su rama si su proveedor de alojamiento la mantiene en una anterior. Según Webhosting.Today, hay parches hasta para la rama 4.7.
- Aclare quién se encarga. Muchas pequeñas empresas tienen un sitio que hizo hace años un diseñador que ya no está. Si no sabe quién lo actualiza, pregunte a su proveedor de alojamiento si las actualizaciones automáticas del núcleo están activadas.
- Haga una copia antes de actualizar. Guarde los archivos y la base de datos en un lugar distinto del propio servidor web.
- Pregunte por la carpeta de actualización. Patchstack recomienda bloquear el acceso web a la carpeta wp-content/upgrade/ en el servidor. Es tarea del alojamiento o del desarrollador, no algo para hacer desde el panel.
- Busque señales de intrusión. Cuentas de administrador desconocidas, plugins que nadie instaló, archivos nuevos en lugares raros o páginas que redirigen a otros sitios merecen una revisión. Actualizar cierra la puerta, pero no elimina lo que un atacante haya dejado.
La lección de fondo
Su sitio web forma parte de su informática, aunque lo aloje otra empresa: tiene formularios de contacto, a veces acceso de clientes, y su reputación. Inclúyalo en la misma rutina de actualizaciones que los equipos de la oficina y el firewall. Nuestro servicio de gestión de parches cubre ese tipo de rutina, y nuestra lista de seguridad para pequeñas empresas ayuda a ver qué más está pendiente.
¿No sabe con qué funciona su sitio ni quién lo mantiene? Llame al (213) 986-4855 o visite nuestra página de ciberseguridad.