La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) afirma que los atacantes están explotando una vulnerabilidad de gravedad alta en WordPress Core que se corrigió recientemente. El fallo, identificado como CVE-2026-119977, se debe a una condición de carrera de comprobación y uso (TOCTOU). Lo notificó Umut Bayram, investigador de Picus Security.
Una explotación exitosa puede permitir que atacantes remotos sin privilegios ejecuten código en el servidor. Los ataques son complejos y dependen de rutas de preparación predecibles y accesibles desde la web durante las actualizaciones completas del núcleo. El equipo de seguridad de WordPress describió el problema como una debilidad que podía permitir la ejecución remota de código durante la ventana de actualización. El 28 de octubre publicó WordPress 7.1.4 para corregir el fallo y recomendó actualizar los sitios de inmediato.
El martes, CISA confirmó la explotación activa y añadió la vulnerabilidad a su catálogo Known Exploited Vulnerabilities (KEV). En virtud de la Binding Operational Directive (BOD) 26-04, ordenó a las agencias del Federal Civilian Executive Branch (FCEB) proteger sus sistemas antes del viernes. CISA también instó a los responsables de defender redes, incluidos los del sector privado, a dar prioridad a la aplicación del parche. La agencia no ofreció más detalles sobre los ataques.
La empresa de seguridad de WordPress Wordfence indicó en una actualización de su aviso durante el fin de semana que había bloqueado 13.095 ataques contra esta vulnerabilidad en las últimas 24 horas.
El incidente se suma a otros problemas de seguridad en WordPress Core. En julio, el equipo de seguridad corrigió la cadena de vulnerabilidades wp2shell, que incluía CVE-2026-63030 y CVE-2026-60137. Los exploits públicos aparecieron un día después de publicarse los parches y, unos días más tarde, los atacantes empezaron a vulnerar servidores sin actualizar. En septiembre, un actor de amenazas de habla china usó la cadena para robar datos confidenciales de más de 18.500 registros almacenados en bases de datos de pequeñas empresas y organizaciones gubernamentales.
Comentarios
0Aún no hay comentarios. Escribe el primero.