CVE-2026-119977: ejecución remota de código en WordPress durante las actualizaciones del núcleo

Qué ocurre

WordPress usa rutas temporales para preparar los ficheros cuando actualiza el núcleo con el paquete completo. Esas rutas son predecibles y se pueden alcanzar desde la web. Durante el rato que dura la actualización, un atacante sin cuenta en el sitio puede aprovechar esa ventana para ejecutar código en el servidor.

Es lo que se conoce como una condición de carrera del tipo "comprobación frente a uso" (TOCTOU): el problema no está en el funcionamiento normal del sitio, sino en ese intervalo concreto en el que se están sustituyendo los ficheros.

La puntuación CVSS es de 8,1 sobre 10. La agencia estadounidense CISA la ha incluido en su catálogo de vulnerabilidades explotadas activamente. No consta que se haya usado en campañas de ransomware.

A quién afecta

Al núcleo de WordPress desde la versión 4.7 hasta la 7.1.3, ambas incluidas. Afecta a los sitios que realizan actualizaciones completas del núcleo, ya sean manuales o automáticas.

Qué hacer

• Consultar el aviso de seguridad de WordPress y aplicar la versión corregida o las mitigaciones que indique el fabricante.
• CISA recomienda aplicar las medidas del fabricante y, si no hubiera mitigaciones disponibles, dejar de usar el producto.
• Revisar qué sitios WordPress están expuestos a internet y priorizar su actualización.
• Como se está explotando, conviene revisar los servidores en busca de ficheros o actividad inesperada, sobre todo en torno a las últimas actualizaciones del núcleo.