Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) añadió CVE-2026-119977, una vulnerabilidad de condición de carrera de tipo tiempo de verificación a tiempo de uso (TOCTOU) en WordPress Core, a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 3 de noviembre de 2026. CISA añade una falla al catálogo cuando cuenta con evidencia confiable de que los atacantes la están explotando activamente.
Qué dice CISA
WordPress Core contiene una vulnerabilidad de condición de carrera de tipo tiempo de verificación a tiempo de uso (TOCTOU) que podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización. Esto se debe a rutas de almacenamiento provisional predecibles y accesibles a través de la web utilizadas durante las actualizaciones completas del núcleo.
— Entrada del catálogo KEV de CISA para CVE-2026-119977
Datos clave
| CVE | CVE-2026-119977 |
|---|---|
| Proveedor / producto | WordPress Core |
| Añadido a KEV | 3 de noviembre de 2026 |
| Plazo federal | 6 de noviembre de 2026 |
| Uso de ransomware conocido | Desconocido |
| Debilidad (CWE) | CWE-367 |
| Triage forense de CISA | Sí |
| Puntuación base CVSS (NVD) | 8.1 Alto |
| Vector CVSS | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Quién debe actuar y cuándo
Se requiere que las agencias de la rama ejecutiva civil federal de EE. UU. solucionen la vulnerabilidad antes del 6 de noviembre de 2026. CISA insta a todas las organizaciones a priorizar las fallas listadas en KEV como parte de su gestión de vulnerabilidades.
La acción requerida por CISA para esta entrada:
Aplique mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de CISA “Priorización de actualizaciones de seguridad basadas en riesgos” (consulte la URL en Notas) y los “Requisitos de triaje forense” de CISA (consulte la URL en Notas). Siga la guía aplicable de BOD 26-04 para servicios en la nube o suspenda el uso del producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de BOD 26-04.
Referencias
- Catalogó de vulnerabilidades explotadas conocidas de CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-119977 https://nvd.nist.gov/vuln/detail/CVE-2026-119977
- wordpress.org https://wordpress.org/news/2026/10/wordpress-7-1-4
- www.wordfence.com https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk