La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha añadido una vulnerabilidad de WordPress Core a su catálogo de vulnerabilidades explotadas conocidas, citando pruebas de que los atacantes la están explotando activamente. La falla, identificada como CVE-2026-119977, tiene una puntuación CVSS de 8.1.
La vulnerabilidad es una condición de carrera de tipo «comprobación de tiempo de uso» (TOCTOU) que podría permitir que atacantes sin autenticar ejecuten código en los servidores afectados durante una actualización completa del paquete Core. CISA atribuye el riesgo a rutas de preparación predecibles y accesibles desde la web que se utilizan durante el proceso de actualización. Los parches se publicaron a finales del mes pasado.
Wordfence informó anteriormente que explotar la falla no requiere una cuenta en el sitio, pero sí depende de que los atacantes alcancen una breve ventana mientras se lleva a cabo una actualización completa de Core. La empresa registró más de 18.500 solicitudes dirigidas a rutas de instalador «setup-config.php» preparadas durante las primeras 21 horas después de que se divulgara públicamente la vulnerabilidad. También informó que bloqueó 12.632 intentos de ataque en las 24 horas previas a la publicación de su informe.
La telemetría de Previdian registró tres intentos de explotación contra sus sensores honeypot el 30 de octubre de 2026, desde una dirección IP geolocalizada en el Reino Unido. Tras la confirmación de CISA, las agencias del Poder Ejecutivo Civil Federal tienen hasta el 6 de noviembre de 2026 para aplicar las correcciones.
Fuentes: The Hacker News.