==============================================================================
  CISA CONFIRMA EXPLOTACIÓN ACTIVA DE FALLA CRÍTICA EN WORDPRESS CORE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-kev-wordpress-core-race-condition-cve-2026-119977
  Publicado:   2026-11-04  (hora de Chile)
  Ambito:      chile   ·   Criticidad: alta
  Descargado:  2026-11-04 20:55  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso del servidor web (Apache/Nginx) de cada instancia WordPress
  · Logs de WAF o proxy inverso frente a los sitios WordPress
  · Logs del panel de hosting (cPanel/Plesk) si aplica
  · Resultado de wp core verify-checksums y monitoreo de integridad de archivos (FIM) sobre wp-admin/wp-includes

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible explotación de condición de carrera en actualización de WordPress Core (CVE-2026-119977)
==============================================================================
  Requiere: Logs de acceso del servidor web con campos de IP origen, método HTTP y URI. Para uso real, agregar agregación por c-ip en ventanas de 2 minutos y umbral (>5 solicitudes) vía el backend de tu SIEM, ya que Sigma puro no expresa bien conteos temporales.

title: Posible explotación de race condition en actualización de WordPress Core (CVE-2026-119977)
id: d2f6a19e-5b7a-4e3b-9c1a-7f4e2a9b6d10
status: experimental
description: Detecta solicitudes concurrentes o de alta frecuencia contra endpoints de actualización de WordPress Core que podrían indicar explotación de la condición de carrera TOCTOU reportada en CVE-2026-119977. Basada en comportamiento, no en firma confirmada: CISA no publicó IOCs para esta vulnerabilidad.
references:
  - https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
author: Vantis
date: 2026/11/04
logsource:
  category: webserver
detection:
  selection_endpoint:
    cs-uri-stem|contains:
      - '/wp-admin/update-core.php'
      - '/wp-admin/includes/update.php'
      - '/wp-admin/update.php'
  selection_method:
    cs-method: 'POST'
  condition: selection_endpoint and selection_method
fields:
  - c-ip
  - cs-uri-stem
  - cs-username
falsepositives:
  - Actualizaciones masivas legítimas ejecutadas por hosting administrado (WP Engine, Kinsta, etc.) desde IPs compartidas
  - Scripts de mantenimiento con WP-CLI que disparan múltiples llamadas de actualización en ventanas programadas
level: medium

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Solicitudes repetidas a endpoints de actualización de WordPress en ventana corta
==============================================================================
  Requiere: Índice con logs de acceso del servidor web o WAF (sourcetype access_combined o equivalente). Ajustar nombre de índice y sourcetype a tu TA real.

index=web sourcetype=access_combined uri_path="*wp-admin*update*" method=POST
| bin _time span=2m
| stats count dc(uri_path) as endpoints by src_ip, _time
| where count > 5
| sort -count

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Alerta por ráfaga de solicitudes a endpoints de actualización de WordPress + FIM en wp-admin
==============================================================================
  Requiere: Decoders de Wazuh para logs de Apache/Nginx habilitados, y módulo syscheck (FIM) activo con whodata sobre los directorios wp-admin y wp-includes del sitio.

<rule id="100620" level="10">
  <if_group>web</if_group>
  <match>wp-admin/update</match>
  <description>Multiples solicitudes a endpoints de actualizacion de WordPress Core en corto periodo - posible explotacion CVE-2026-119977</description>
  <group>wordpress,race_condition,cve_2026_119977</group>
</rule>

<rule id="100621" level="12">
  <if_sid>550</if_sid>
  <field name="file">wp-admin|wp-includes</field>
  <description>Cambio de integridad detectado en archivos core de WordPress tras evento de actualizacion</description>
  <group>wordpress,syscheck,cve_2026_119977</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Hosting administrado (WP Engine, Kinsta, SiteGround) ejecuta
  actualizaciones automáticas masivas desde infraestructura compartida y
  puede generar ráfagas legítimas de solicitudes a los mismos endpoints.
  Scripts internos con WP-CLI en ventanas de mantenimiento programadas
  producen el mismo patrón. Calibrar umbral y lista blanca de IPs de hosting
  conocidas antes de pasar a modo bloqueo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================