CISA incluye error de WordPress en su lista de explotación

La agencia estadounidense de ciberseguridad CISA incluyó el martes (3) la CVE-2026-119977, una vulnerabilidad en el núcleo de WordPress, en el catálogo de vulnerabilidades conocidas y explotadas (KEV), según la alerta publicada por la agencia. La inclusión significa que CISA tiene evidencia de explotación activa. Los organismos federales civiles de Estados Unidos tienen hasta el 6 de noviembre para corregir, de acuerdo con la entrada en el catálogo, un plazo de tres días que es compatible con la directiva BOD 26-04.

La vulnerabilidad afecta todas las versiones de WordPress desde la 4.7.0 hasta la 7.1.3. La corrección salió el 28 de octubre, con la versión 7.1.4 y actualizaciones retroactivas para cada rama desde la 4.7. Es decir, quienes aún no aplicaron la actualización de hace seis días están utilizando un software listado por el gobierno estadounidense como objetivo de ataques en curso.

Una ventana de segundos durante la actualización

La falla es del tipo TOCTOU (time-of-check, time-of-use), una condición de carrera. Durante una actualización completa del núcleo, WordPress crea directorios temporales en rutas previsibles y accesibles por la web, dentro de wp-content/upgrade. Un atacante no autenticado que acierte en este camino en el momento justo puede ejecutar código en el servidor, según los análisis publicados por Wordfence y por investigadores independientes.

El detalle operativo que hace que el caso sea relevante para los equipos de seguridad corporativa es la detección. Como la solicitud maliciosa accede directamente al archivo PHP temporal, sin cargar WordPress, un firewall de aplicación que opera como plugin dentro de WordPress puede no detectar el ataque. Las recomendaciones publicadas apuntan a los registros de acceso del servidor web, y no a los paneles del CMS.

Alta o baja? La discrepancia sobre la gravedad

Wordfence, que actuó como autoridad de numeración (CNA) y asignó la CVE, clasifica la falla con una puntuación CVSS 3.1 de 8.1, gravedad alta. El propio proyecto WordPress, en el aviso de seguridad de la versión 7.1.4, clasificó el problema como de gravedad baja.

Ambos lados tienen argumentos. La posición de WordPress se apoya en el hecho de que la explotación depende del tiempo: solo funciona en servidores que están en medio de una actualización, y la ventana es corta. La posición de Wordfence se fundamenta en la escala: el defecto está en el núcleo, no en un plugin, y cada instalación pasa por la ventana vulnerable cada vez que se actualiza. La empresa afirmó haber bloqueado decenas de miles de intentos de explotación en las primeras 24 horas después de publicar la regla de firewall correspondiente, el 28 de octubre.

La inclusión en el KEV desempata la discusión desde el punto de vista práctico, pero no resuelve el aspecto técnico. Intentos bloqueados no son intrusiones confirmadas, y ni WordPress ni Wordfence han publicado indicadores de compromiso, como direcciones IP o hashes, hasta el cierre de esta materia. CISA tampoco detalló qué organizaciones fueron atacadas.

Qué hacer, y dónde aterriza el riesgo

La orientación consolidada es actualizar a la 7.1.4 o a la versión corregida de la rama en uso. Mientras esto no sea posible, bloquear el acceso HTTP al directorio wp-content/upgrade reduce la superficie de ataque. Hay un cuidado adicional señalado por investigadores: actualizar desde una versión muy antigua puede recrear brevemente el directorio temporal, por lo que el bloqueo debe implementarse antes de la actualización, y no después.

En Estados Unidos, el efecto inmediato es regulatorio para el sector público federal, que tiene plazo hasta el viernes, e indirecto para proveedores de gobierno, que suelen heredar los plazos del KEV en contrato. En la Unión Europea, una intrusión por esta vía en un sitio que recopile datos personales entra en el régimen de notificación del GDPR, con un plazo de 72 horas para avisar a la autoridad de protección de datos. En Brasil, la misma intrusión activa el reglamento de comunicación de incidentes de la ANPD, que exige aviso en tres días hábiles cuando haya riesgo relevante para los titulares.

El canal común a los tres mercados es el mismo: WordPress rara vez está en el inventario del CISO. Se encuentra en el marketing, en agencias externas, en sitios de campaña y en portales de recursos humanos, hospedados fuera de la infraestructura central. Para las consultorías que gestionan vulnerabilidades para clientes, la pregunta útil esta semana no es si el cliente usa WordPress, sino quién actualiza cada instalación y si alguien revisa los registros del servidor web durante la ventana de actualización.