CISA agregó este 3 de noviembre de 2026 la vulnerabilidad CVE-2026-119977 de WordPress Core a su catálogo de vulnerabilidades explotadas conocidas (KEV). Según la ficha de la vulnerabilidad, un atacante sin autenticación podría ejecutar código en el servidor durante la ventana de actualización.
⚙️ El problema es una condición de carrera de tipo TOCTOU: un desfase entre comprobar una condición y usar el recurso correspondiente. En este caso, está relacionado con rutas temporales de preparación que son predecibles y accesibles desde la web durante las actualizaciones del núcleo mediante el paquete completo.
🛠️ La indicación es aplicar las mitigaciones siguiendo las instrucciones del proveedor. CISA también remite a su directiva BOD 26-04, Prioritizing Security Updates Based on Risk, y a sus requisitos de triaje forense, llamados Forensics Triage Requirements.
🔒 Para los servicios en la nube, el aviso pide seguir la orientación aplicable de BOD 26-04 o dejar de usar el producto si no hay mitigaciones disponibles. También señala que los responsables deben evaluar la exposición a internet de cada activo y cumplir los lineamientos de aplicación de parches de esa directiva.
¿Qué cambia para quienes administran WordPress?
El punto delicado es el proceso de actualización, no solamente el funcionamiento cotidiano del sitio. Para quienes mantienen instalaciones de WordPress, el aviso pone el foco en revisar las instrucciones de mitigación y la exposición del servidor durante ese proceso.
💬 ¿Cómo revisas la seguridad de tus sitios de WordPress antes y después de actualizar el núcleo?
¿Pero deveras? 🌵💚
