CISA confirma explotación activa de falla crítica en WordPress Core

La vulnerabilidad, una condición de carrera TOCTOU, se explotaría durante el propio proceso de actualización del CMS. CISA la sumó a su catálogo KEV el 3 de noviembre; no hay versión parchada ni IOCs públicos todavía.

Qué pasó

Dato. El 3 de noviembre de 2026, CISA agregó la CVE-2026-119977 —descrita como una vulnerabilidad de condición de carrera Time-of-check Time-of-use (TOCTOU) en el núcleo de WordPress— a su catálogo de vulnerabilidades explotadas conocidas (KEV), citando evidencia de explotación activa. El aviso de CISA no entrega vector de entrada detallado, versión afectada exacta, versión parchada, ni indicadores de compromiso.

The Hacker News publicó al día siguiente una pieza titulada *"CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades"*, que agrega el dato más relevante disponible hasta ahora: la explotación ocurriría durante el propio proceso de actualización del CMS. Esto es consistente con la naturaleza de un TOCTOU: el atacante aprovecha la ventana entre el momento en que el sistema verifica una condición (por ejemplo, permisos o integridad de un archivo) y el momento en que efectivamente actúa sobre ella, insertando o alterando algo en ese intersticio.

Evaluación (confianza media). Es razonable pensar que el flujo de actualización de WordPress Core —que escribe archivos, cambia versiones de plugins/temas empaquetados y ejecuta rutinas con privilegios elevados— es exactamente el tipo de operación donde un TOCTOU rinde: hay escritura de archivos, verificación de checksums y ejecución subsecuente separadas en el tiempo. La explicación alternativa que no podemos descartar es que el 'durante la actualización' se refiera a una ventana de exposición distinta, como un endpoint de administración que queda temporalmente con permisos más laxos mientras corre el proceso, sin que el archivo de actualización en sí sea el vector. CISA no lo precisa.

No hay, al momento de escribir esto, un número de versión de WordPress Core que corrija la falla en las fuentes consultadas. No sabemos si ya existe parche disponible; lo que corresponde es monitorear el changelog oficial de WordPress.org y aplicar la actualización apenas esté disponible.

Esta falla se suma a una seguidilla de vulnerabilidades de WordPress con explotación activa reportada en las últimas semanas (Comment2Shell, Click2Shell, Bricksforge con CVSS 10.0, CVE-2026-87902 explotada horas después de su divulgación), según el cruce de fuentes que maneja este análisis. Evaluación (confianza alta): los atacantes mantienen escaneo masivo y continuo del ecosistema WordPress buscando CVEs recién divulgados, no se trata de un pico aislado — la cadencia de reportes (al menos seis incidentes de explotación activa distintos en dos meses) no tiene una explicación alternativa razonable distinta a escaneo automatizado a gran escala.

Por qué importa acá

Evaluación (confianza media). No existe en este momento una cifra oficial de penetración de WordPress en sitios web chilenos. Lo que sí es dato verificable públicamente es que WordPress impulsa más del 40% de los sitios web del mundo (W3Techs). Asumir un porcentaje similar para el dominio .cl —sitios de PYMEs, medios digitales regionales, portales municipales, landing pages corporativas gestionadas por áreas de marketing fuera del radar de TI— es razonable pero no verificado; la alternativa que no podemos descartar es que el mercado chileno tenga una composición distinta (más Wix, Shopify o desarrollos a medida de lo que sugiere el promedio global).

Lo que sostiene la urgencia incluso sin esa cifra exacta es el patrón: WordPress es, operativamente, el CMS con más superficie de ataque explotada activamente mes a mes, y buena parte de esos sitios en Chile no están bajo gestión directa de TI sino de áreas de comunicaciones o agencias externas — que suelen no aplicar parches el mismo día de divulgación.

Dato. CISA enmarca esta adición bajo BOD 26-04, que exige a las agencias federales estadounidenses priorizar la remediación de vulnerabilidades del catálogo KEV en activos expuestos que otorguen control total. Esa directiva no aplica a Chile, pero el criterio de priorización —activos públicamente expuestos primero— es el que cualquier organización local debería adoptar igual.

Si un sitio WordPress comprometido pertenece a un Operador de Importancia Vital bajo la Ley 21.663, la explotación activa de esta falla que derive en acceso no autorizado o afectación del servicio activa el deber de reportar a ANCI. No corresponde anticipar aquí un plazo específico sin haberlo verificado en el reglamento vigente; lo que sí corresponde hoy es activar el protocolo interno de escalamiento y reporte.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — WordPress Core es, por definición, una aplicación expuesta públicamente en la gran mayoría de sus instalaciones. El mecanismo de actualización, al ser parte del propio núcleo accesible desde el panel de administración, amplía la superficie explotable en este caso específico.
• T1505.003 — Hipótesis a vigilar, no confirmada para esta CVE: en campañas recientes contra WordPress (puertas traseras PHP auto-reparables, uso indebido de claves UpdraftCentral) el patrón post-explotación típico es la instalación de un web shell persistente. No hay evidencia pública de que esto ocurra con CVE-2026-119977 todavía.

title: Posible explotación de race condition en actualización de WordPress Core (CVE-2026-119977)
id: d2f6a19e-5b7a-4e3b-9c1a-7f4e2a9b6d10
status: experimental
description: Detecta solicitudes concurrentes o de alta frecuencia contra endpoints de actualización de WordPress Core que podrían indicar explotación de la condición de carrera TOCTOU reportada en CVE-2026-119977. Basada en comportamiento, no en firma confirmada: CISA no publicó IOCs para esta vulnerabilidad.
references:
  - https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
author: Vantis
date: 2026/11/04
logsource:
  category: webserver
detection:
  selection_endpoint:
    cs-uri-stem|contains:
      - '/wp-admin/update-core.php'
      - '/wp-admin/includes/update.php'
      - '/wp-admin/update.php'
  selection_method:
    cs-method: 'POST'
  condition: selection_endpoint and selection_method
fields:
  - c-ip
  - cs-uri-stem
  - cs-username
falsepositives:
  - Actualizaciones masivas legítimas ejecutadas por hosting administrado (WP Engine, Kinsta, etc.) desde IPs compartidas
  - Scripts de mantenimiento con WP-CLI que disparan múltiples llamadas de actualización en ventanas programadas
level: medium

index=web sourcetype=access_combined uri_path="*wp-admin*update*" method=POST
| bin _time span=2m
| stats count dc(uri_path) as endpoints by src_ip, _time
| where count > 5
| sort -count

<rule id="100620" level="10">
  <if_group>web</if_group>
  <match>wp-admin/update</match>
  <description>Multiples solicitudes a endpoints de actualizacion de WordPress Core en corto periodo - posible explotacion CVE-2026-119977</description>
  <group>wordpress,race_condition,cve_2026_119977</group>
</rule>

<rule id="100621" level="12">
  <if_sid>550</if_sid>
  <field name="file">wp-admin|wp-includes</field>
  <description>Cambio de integridad detectado en archivos core de WordPress tras evento de actualizacion</description>
  <group>wordpress,syscheck,cve_2026_119977</group>
</rule>

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-11-03
• CVE.orgCVE-2026-119977 - CVE Record · 2026-11-03
• The Hacker NewsCISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades · 2026-11-04
• CISABOD 26-04: Prioritizing Security Updates Based on Risk · 2026-11-03
• The Hacker NewsAttackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE · 2026-10-12
• Segu-InfoExplotan la vulnerabilidad CVE-2026-87902 de WordPress pocas horas después de su divulgación · 2026-09-24

Relacionado