Ing. Calogero Bono
WordPress 7.1.4 es una versión de seguridad publicada el 28 de octubre, e incluye la corrección de una falla que permite ejecutar código en el servidor durante una actualización del núcleo. La CISA estadounidense ha confirmado que la vulnerabilidad, CVE-2026-119977, se está explotando y ha sido incluida en el catálogo KEV. Importa porque el ataque no requiere una cuenta en el sitio. Si administras sitios WordPress, la actualización no puede esperar.
Algunos términos antes de entrar en los hechos. CVE es el código que identifica una vulnerabilidad conocida. TOCTOU (time-of-check time-of-use) es una condición de carrera, es decir, un fallo en el que algo cambia entre la comprobación y el uso de un recurso. RCE significa ejecución remota de código. KEV es el catálogo de la CISA de vulnerabilidades cuya explotación está demostrada. XSS almacenado es un script malicioso guardado en el sitio y mostrado a los visitantes.
¿Qué es la falla CVE-2026-119977?
Según el comunicado oficial de WordPress, se trata de una debilidad en el proceso de actualización que puede llevar a la ejecución remota de código durante la ventana de upgrade. El hallazgo es de Umut Bayram, investigador de Picus Security.
Como informa BleepingComputer, el problema surge del uso de rutas de staging predecibles y accesibles desde la web durante las actualizaciones completas del núcleo. La gravedad es alta, con una puntuación CVSS de 8.1 según The Hacker News, y la complejidad del ataque es elevada.
¿Cuánto se explota realmente?
La CISA ha añadido la falla al catálogo KEV y ha ordenado a las agencias federales civiles corregirla antes del 6 de noviembre de 2026. La agencia también ha invitado a las empresas privadas a priorizar el parche.
Las cifras proceden de Wordfence, por lo que son declaraciones de una empresa de seguridad. BleepingComputer informa de 13.095 ataques bloqueados en 24 horas. The Hacker News cita más de 18.500 solicitudes a rutas «setup-config.php» en las primeras 21 horas y 12.632 ataques bloqueados en otra ventana de 24 horas. Previdian registró tres intentos contra su honeypot el 30 de octubre.
¿Qué más corrige WordPress 7.1.4?
La versión no se limita a la actualización. La lista oficial incluye varias fallas de tipo XSS almacenado en bloques y funciones del núcleo.
- bloque Categories, bloques Playlist e imagen, bloques de paginación de comentarios
- Interactivity API, con varias XSS y un caso de denegación de servicio
- Customizer, con una XSS y el descubrimiento de changesets no publicados por parte de usuarios anónimos
- solicitudes de eliminación de datos personales y nombres de usuario construidos a propósito
También se corrigen la lectura de notas por parte de usuarios privilegiados sin permisos de edición y los certificados raíz, actualizados por la revocación de eMudhra.
¿Por qué 2026 es un año difícil para el núcleo de WordPress?
Según BleepingComputer, en julio el equipo de seguridad corrigió la cadena wp2shell, compuesta por una confusión en las rutas batch de la REST API (CVE-2026-63030) y una inyección SQL (CVE-2026-60137). Los exploits públicos llegaron un día después de los parches.
En septiembre, un actor de habla china usó la cadena para sustraer datos de más de 18.500 registros de bases de datos de pequeñas empresas y organizaciones públicas. El precedente muestra lo breve que puede ser el tiempo entre el parche y el ataque. Para profundizar, nuestra guía de seguridad en WordPress explica las defensas básicas.
Límites que conviene conocer
No sabemos quién está detrás de los ataques ni cuántos sitios han sido comprometidos. La CISA no ha dado detalles sobre la explotación, y los datos de ataques bloqueados proceden de Wordfence, con ventanas temporales distintas según la fuente. Las correcciones para las ramas más antiguas, hasta la 4.7, todavía están en camino y se publicarán cuando estén listas.
Qué cambia para quien trabaja con lo digital
Actualiza ya a 7.1.4, desde la sección Actualizaciones del Escritorio, si las actualizaciones automáticas aún no se han aplicado. Si no tienes un procedimiento, nuestra estrategia para actualizar sin romper el sitio es un buen punto de partida. Quien gestiona muchos sitios para clientes debe revisar también los olvidados. Un firewall como los que comparamos en la guía de plugins de seguridad ayuda, pero no sustituye al parche.
Nuestra opinión
Lo más incómodo es que la falla afecta justo al mecanismo con el que deberías protegerte. Actualizar es la defensa, pero durante la actualización se abre la ventana de riesgo. El dato positivo es la rápida respuesta del equipo de seguridad. El negativo es el ritmo de 2026, con una cadena de exploits en julio y otra falla explotada en octubre. Quien trata las actualizaciones como una tarea para cuando haya tiempo está apostando en contra de las cifras.
Preguntas frecuentes
¿Qué corrige WordPress 7.1.4?
Corrige una falla de ejecución de código en el proceso de actualización y varias XSS almacenadas. Incluye también la corrección de un caso de denegación de servicio y la actualización de certificados raíz.
¿La falla CVE-2026-119977 requiere una cuenta?
No. Según Wordfence, citada por las fuentes, no hace falta ninguna cuenta. Sin embargo, el atacante debe aprovechar una breve ventana durante una actualización completa del núcleo.
¿Cuándo sale WordPress 7.2?
Está prevista para el 8 de diciembre. La Beta 3 ya está disponible y contiene las correcciones aplicables.
¿También reciben parche las versiones antiguas?
Sí, en parte. Las correcciones se están retroportando a todas las ramas aplicables hasta la 4.7 y se publicarán cuando estén listas. WordPress recuerda que solo la última versión tiene soporte activo.
¿La norma de la CISA también vale para las empresas italianas?
No, el plazo del 6 de noviembre solo afecta a las agencias federales estadounidenses. Sin embargo, la CISA también invita al sector privado a priorizar el parche.
Qué vigilar en las próximas semanas con WordPress
El parche ya está disponible, pero la atención ahora se desplaza a las ramas antiguas y a la beta 7.2. El periodo más arriesgado es aquel en que el exploit circula y los sitios no están actualizados.
- Revisa la llegada de los retroportes para las versiones antiguas que todavía utilizas y planifica la migración.
- Revisa los registros del servidor buscando peticiones a rutas de instalación como setup-config.php.
- Sigue las notas de la Beta 3 y de la 7.2, prevista para el 8 de diciembre, antes de actualizar en producción.
