WordPress: atacan un fallo de la actualización del núcleo

Lo que se sabe

• Qué es: según el aviso de WordPress en GitHub (29 de octubre), durante una actualización del núcleo con el paquete completo, WordPress descomprimía los archivos nuevos en una carpeta predecible y accesible desde internet. Un atacante sin cuenta que llegue a tiempo, en ese breve intervalo, podría ejecutar código en el servidor.
• Qué dice CISA: el 3 de noviembre añadió el fallo, con el identificador CVE-2026-119977, a su catálogo de vulnerabilidades explotadas, «based on evidence of active exploitation». Da a las agencias federales de EE. UU. hasta el 6 de noviembre para corregirlo y les exige una revisión forense.
• Qué dice Wordfence: la empresa de seguridad para WordPress lo publicó el 28 de octubre, le da una nota de 8,1 sobre 10 (alta) y, en su ficha consultada el 4 de noviembre, dice haber bloqueado 14.312 ataques contra este fallo en las últimas 24 horas. Atribuye el hallazgo a Umut Bayram, de Picus Security.
• La diferencia de nota: el aviso de WordPress lo califica de gravedad baja, porque hace falta coincidir con el momento exacto de una actualización. Wordfence y CISA lo tratan como grave porque el resultado, si sale bien, es el control del servidor.
• Versiones corregidas: 7.1.4 y, para quien siga en una rama anterior, 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16, 6.0.18 y así hasta 4.7.39, según el mismo aviso.

Qué cambia y qué no

• Cambia la urgencia. Ya no es un arreglo más de la lista de la 7.1.4: hay ataques confirmados por un organismo público y medidos por una empresa de seguridad.
• No cambia la solución. No hay un nuevo parche. Lo que corrige el fallo es la misma 7.1.4 (o la versión de tu rama) que salió el 28 de octubre. El aviso de WordPress no propone ninguna medida alternativa.
• Lo que no está claro: ninguna de las fuentes dice si la propia actualización desde una versión vulnerable hasta la corregida abrió ese intervalo. Por eso conviene revisar también las webs que se actualizaron después del 28 de octubre, no solo las que siguen sin actualizar.
• No afecta igual a todos. Las versiones 4.6 y anteriores no tienen parche: si una web sigue ahí, el problema es mayor que este fallo.

Cómo saber si te afecta

1. Mira tu versión. En el escritorio de WordPress, entra en Escritorio → Actualizaciones. Tiene que decir 7.1.4 o la versión corregida de tu rama (la lista de arriba). Si no, tu web es vulnerable.
2. Si no está al día, actualiza hoy. Haz antes una copia de seguridad completa (archivos y base de datos) o pídesela a tu hosting. Si tienes las actualizaciones automáticas desactivadas, este es el motivo para revisarlo.
3. Revisa si alguien entró. Sobre todo si la web se actualizó a mano o con retraso desde el 28 de octubre: mira en Usuarios si hay administradores que no conoces, y pasa un escáner de seguridad que compare los archivos del núcleo con los oficiales.
4. Si tu web está en un hosting compartido o gestionado, pregunta por escrito: «¿Qué versión de WordPress tiene mi web? ¿Cuándo se actualizó? ¿Podéis revisar si hay archivos PHP nuevos o cambiados en el servidor desde el 28 de octubre?».
5. Si encuentras algo raro, no te limites a borrarlo: cambia las contraseñas de los administradores, del panel del hosting, del FTP o SFTP y de la base de datos, y pide ayuda para limpiar la web antes de volver a confiar en ella.

Relacionado: WordPress 7.1.4, actualización de seguridad: qué hacer hoy

Fuentes

• CISA, «CISA Adds One Known Exploited Vulnerability to Catalog», 3 de noviembre de 2026 (en inglés)
• CISA, catálogo de vulnerabilidades explotadas (KEV), ficha de CVE-2026-119977 (en inglés)
• WordPress, aviso GHSA-4w3m-c66w-69mg en GitHub, 29 de octubre de 2026 (en inglés)
• Wordfence, ficha del fallo en su base de datos de vulnerabilidades (en inglés)
• The Hacker News, 4 de noviembre de 2026 (en inglés)

Actualizaciones: si WordPress publica una medida adicional o explica cómo revisar una web afectada, se añadirá aquí con su enlace.