Si tenes un sitio WordPress o administras varios y estas tranquilo porque actualizaste hace un par de semanas, más vale que empieces a trabajar. La vulnerabilidad CVE-2026-119977 ha sido catalogada como una falla de alta gravedad capaz de derivar en Remote Code Execution (RCE), es decir, permitir que un atacante ejecute código en el servidor sin necesidad de autenticarse. [wordfence.com], [itsc.cuhk.edu.hk]

Lo más llamativo del caso es que el fallo no se encuentra en un plugin de terceros ni en una plantilla abandonada hace diez años. El problema afecta al propio núcleo de WordPress durante un proceso que todos realizamos periódicamente: las actualizaciones del sistema. [wordfence.com], [itsc.cuhk.edu.hk]

¿Qué es exactamente CVE-2026-119977?

La vulnerabilidad fue identificada como una condición de carrera (race condition) presente en el proceso de actualización de WordPress Core. Durante una actualización completa, WordPress descomprime temporalmente los nuevos archivos dentro de una carpeta ubicada bajo:

wp-content/upgrade/

Según la investigación publicada por Wordfence, estas carpetas temporales utilizaban rutas predecibles y podían contener componentes de instalación accesibles desde la web. Si un atacante lograba acceder a esos archivos en el momento preciso de la actualización, podía interactuar con la copia temporal del sistema y avanzar hacia la ejecución de código PHP en el servidor. [wordfence.com]

En otras palabras: mientras WordPress está renovándose, el atacante intenta colarse por una puerta temporal que debería existir sólo unos segundos. Y sí, los ciberdelincuentes ya estaban intentándolo apenas horas después de que se publicara el parche. Wordfence registró miles de intentos automatizados buscando rutas temporales vulnerables. [wordfence.com]

Ejecución remota de código… cómo me afecta?

En términos simples, una vulnerabilidad de Ejecución Remota de Código (RCE) significa que un atacante puede conseguir que el servidor ejecute código elegido por él. En el caso de CVE-2026-119977, la explotación exitosa puede permitir la ejecución de código PHP en el servidor durante la ventana vulnerable del proceso de actualización de WordPress. [wordfence.com], [itsc.cuhk.edu.hk]

Lo que pueda ejecutarse y el daño consecuente depende de los permisos con los que se ejecuta PHP en ese servidor:

Escenario habitual

Si PHP corre como usuario www-data, apache, nginx o similar, el atacante podría:

Crear y modificar archivos web.
Subir backdoors.
Instalar webshells.
Crear usuarios administradores en WordPress.
Robar la base de datos.
Leer archivos accesibles para el usuario del servicio web.
Ejecutar comandos del sistema operativo mediante funciones PHP si están habilitadas.
Descargar malware adicional

¿Obtiene control total del servidor?

No necesariamente. La RCE (remote code execution) suele otorgar inicialmente los permisos del proceso web. Sin embargo, muchos ataques continúan con una fase denominada escalada de privilegios, donde el atacante intenta pasar de: Usuario web (www-data) a Administrador / root / SYSTEM. Si el servidor tiene otras vulnerabilidades o malas configuraciones, el compromiso puede terminar afectando a toda la máquina.

En un WordPress comprometido, ¿qué haría normalmente un atacante?

De forma más frecuente que lanzar comandos espectaculares, suele:

Crear administradores ocultos.
Insertar spam SEO.
Redirigir visitantes.
Instalar malware.
Robar credenciales.
Usar el servidor para phishing.
Mantener acceso persistente mediante backdoors.

Es decir, el objetivo suele ser monetizar el sitio comprometido más que «romperlo».

En el caso concreto de CVE-2026-119977

La gravedad es alta porque la vulnerabilidad puede derivar en ejecución remota de código sin autenticación, pero requiere aprovechar una ventana temporal muy breve mientras WordPress descomprime una actualización Core. Los investigadores señalan que el atacante debe ganar una «carrera» contra el propio proceso de actualización, razón por la cual se observaron bots realizando consultas repetitivas a directorios temporales. [wordfence.com], [itsc.cuhk.edu.hk]

En criollo:

«Si el ataque tiene éxito, el ciberdelincuente podría lograr que el servidor ejecute código propio, obteniendo un nivel de acceso comparable al de un administrador técnico del sitio y permitiéndole instalar malware, robar datos o tomar control de la web.» [wordfence.com], [itsc.cuhk.edu.hk]

Versiones afectadas

La vulnerabilidad afecta a WordPress Core desde la versión 4.7.0 hasta la 7.1.3, incluyendo prácticamente todas las ramas mantenidas del proyecto. [itsc.cuhk.edu.hk], [wordfence.com]

Las versiones corregidas incluyen:

WordPress 7.1.4
WordPress 7.0.8
WordPress 6.9.11
Revisiones de seguridad equivalentes para ramas anteriores hasta WordPress 4.7.39

¿Cómo infecta un sitio web?

Esta vulnerabilidad es especialmente interesante porque no requiere:

Usuarios válidos.
Credenciales robadas.
Formularios vulnerables.
Plugins inseguros.

El ataque se aprovecha exclusivamente del proceso de actualización de WordPress. [wordfence.com]

Mecanismo de ataque

WordPress inicia una actualización Core.
Los nuevos archivos se extraen en una carpeta temporal.
El atacante realiza solicitudes repetitivas a las rutas temporales.
Si encuentra la ventana exacta en que los archivos están disponibles, puede acceder al instalador temporal.
La explotación exitosa puede derivar en ejecución remota de código.

Los investigadores indican que la ventana temporal suele durar apenas segundos, pero los atacantes emplean bots que realizan miles de consultas para incrementar las probabilidades de éxito.

¿Qué daños puede provocar?

Si el exploit prospera, las consecuencias pueden ser extremadamente graves.

Posibles impactos

✅ Instalación de puertas traseras (backdoors)

✅ Creación de usuarios administradores ocultos

✅ Robo de bases de datos

✅ Robo de credenciales

✅ Modificación de contenidos

✅ Redirección de visitantes hacia sitios maliciosos

✅ Inyección de malware

✅ Participación del servidor en botnets

✅ Uso del sitio para campañas de spam o phishing

✅ Compromiso total del hosting compartido en determinados escenarios

En términos prácticos, un atacante con ejecución remota de código posee un nivel de control similar al de un administrador del sistema.

¿Cómo saber si un sitio ya fue comprometido?

Algunos indicadores de compromiso incluyen:

Archivos sospechosos

Buscar en wp-content/upgrade/ y revisar si existen archivos PHP inesperados. Revisar las carpetas bajo publichtml, www o root y verificar nombres y fechas de archivos.

Nuevos usuarios administradores

Comprobar Usuarios > Todos los usuarios y verificar cuentas desconocidas.

Plugins desconocidos

Revisar plugins instalados recientemente sin autorización.

Actividad extraña en los logs

Buscar solicitudes hacia /wp-content/upgrade/ o archivos como setup-config.php. Wordfence recomienda prestar especial atención a solicitudes dirigidas a rutas temporales de actualización.

Cómo reparar un sitio infectado

Si sospechas que el sitio pudo haber sido afectado:

Paso 1: Poner el sitio en mantenimiento

Evita que el atacante continúe operando mientras realizas el análisis.

Paso 2: Realizar una copia forense

Genera un backup completo antes de modificar nada.

Paso 3: Actualizar WordPress inmediatamente

Instala la versión corregida.

Desde el panel

Escritorio > Actualizaciones, clic en Actualizar WordPress y verificar que la versión final sea 7.1.4 o superior, o la revisión de seguridad correspondiente a tu rama.

Paso 4: Analizar el sistema

Herramientas recomendadas:

Wordfence
Sucuri Scanner
MalCare
Escáneres del proveedor de hosting

Paso 5: Restaurar archivos Core

Se recomienda sobrescribir todos los archivos del núcleo con una copia limpia descargada desde WordPress.org.

Paso 6: Cambiar credenciales

Renovar:

Contraseñas de administradores
Contraseñas FTP
Accesos SSH
Base de datos
Panel de hosting

Paso 7: Revisar tareas programadas y backdoors

Buscar en scripts PHP comandos similares a: eval(, base64_decode(, gzinflate(, shell_exec( y cualquier código ofuscado.

Cómo prevenir futuros ataques

Mantener WordPress actualizado

La principal defensa es instalar la versión corregida. WordPress modificó el proceso de actualización mediante:

Aleatorización de directorios temporales.
Protección adicional de acceso.
Cambios para impedir promociones inseguras de configuraciones temporales. [wordfence.com]

Activar actualizaciones automáticas

Reducirá la ventana de exposición.

Utilizar un firewall de aplicaciones

Wordfence informó que desplegó reglas específicas para bloquear intentos de explotación de esta vulnerabilidad.

Monitorear periódicamente directorios sensibles

Especialmente wp-content/, wp-content/upgrade/, wp-admin/

Mantener copias de seguridad recientes

Una regla simple:

El mejor backup es el que existe antes del incidente. El backup que haces despues podrá servir para un próximo evento, pero esta vez… perdiste.

Conclusión

La CVE-2026-119977 es una de las vulnerabilidades más importantes corregidas recientemente en WordPress porque permite una posible ejecución remota de código sin autenticación, aprovechando una carrera temporal durante las actualizaciones Core. Aunque la ventana de explotación es breve, los atacantes ya están realizando intentos automatizados masivos para capturar ese momento exacto.

Si administras un sitio WordPress, este es uno de esos casos donde la clásica frase «actualizaré luego» puede transformarse rápidamente en «¿por qué mi web ahora vende criptomonedas, medicamentos milagrosos y zapatillas que nunca publiqué?». La solución es sencilla: verificar la versión instalada, aplicar los parches oficiales y realizar una auditoría de seguridad si el sitio permaneció vulnerable durante varios días.

Fuentes:

CVE.org (CVE-2026-119977)
NIST NVD (CVE-2026-119977)
Wordfence Security Research
Chinese University of Hong Kong Information Security Alerts (CUHK)

Gracias por compartir!