Falla de WordPress explotada: CISA confirma ataques y el arreglo llegó con la 7.1.4
Si tenés un sitio en WordPress, esta es de las que no se dejan para el lunes. Hay una falla de WordPress explotada: la agencia de ciberseguridad de Estados Unidos, CISA, agregó el 3 de noviembre de 2026 la CVE-2026-119977, del núcleo de WordPress, a su catálogo de vulnerabilidades explotadas, por evidencia de explotación activa. La falla puede permitir que alguien sin cuenta en tu sitio ejecute código en el servidor si acierta el momento de una actualización del núcleo con el paquete completo. El arreglo ya existe: salió con WordPress 7.1.4 el 28 de octubre y se llevó a las ramas anteriores, hasta la 4.7.
A quién le afecta: a los sitios WordPress con una versión de la 4.7 a la 7.1.3 que todavía no tengan la versión corregida de su rama. Le importa a cualquiera que tenga un sitio propio, la web de su pyme o de su tienda, o que les mantenga sitios a clientes. CISA no dice quién está atacando, contra cuántos sitios ni en qué países, así que no hay datos de América Latina: el riesgo es para cualquier sitio sin actualizar, esté donde esté.
Qué hacer hoy:
- Mirá qué versión tenés. En el panel de WordPress, entrá a Escritorio > Actualizaciones (en inglés, Dashboard > Updates). Si figura la 7.1.4 o la versión corregida de tu rama (está en la tabla de abajo), ya tenés el arreglo.
- Si no, actualizá. En esa misma pantalla, usá el botón para actualizar (el anuncio de WordPress lo llama Update Now; en español el texto puede variar según la versión). WordPress recomienda hacerlo «de inmediato», y aclara que en los sitios con actualizaciones automáticas en segundo plano el proceso arranca solo. Hacé antes una copia de seguridad del sitio: es la regla de siempre, no un pedido del aviso.
- Si tu sitio lo administra un hosting o una agencia, preguntales hoy qué versión tiene. Que «se actualiza solo» no es lo mismo que «ya está actualizado».
Las versiones que tienen el arreglo
WordPress publicó la corrección para la rama actual y, como cortesía, la llevó a todas las ramas desde la 4.7. Según el aviso del proyecto, estas son las versiones corregidas:
| Si tu sitio usa la rama… | Afectadas | Corregida |
|---|---|---|
| 7.1 | 7.1.0 a 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 a 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 a 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 a 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 a 6.7.10 | 6.7.11 |
| 4.7 a 6.6 | Todas las anteriores a la corregida de cada rama | Una por rama, de la 4.7.39 a la 6.6.11 (lista completa en el aviso) |
Un detalle que el propio WordPress recuerda: solo la versión más reciente tiene soporte activo. Si tu sitio sigue en una 5.x o una 6.x vieja, este es un buen momento para planear el salto a la 7.1.
Qué es la falla
Según el aviso de WordPress, durante una actualización del núcleo que usa el paquete completo, WordPress extraía los archivos nuevos en una carpeta con un nombre predecible, dentro de la carpeta de actualizaciones que el servidor web deja accesible. Un atacante que gana la carrera contra esa extracción puede llegar a ejecutar código en el servidor. CISA y el registro oficial del CVE lo describen igual: rutas de preparación predecibles y accesibles por web durante la actualización, explotables sin estar autenticado. Wordfence la describe como una ventana breve, pero nadie da una duración.
La gravedad depende de quién la mida:
- WordPress la califica como de severidad baja en su aviso.
- El registro del CVE, que cargó la empresa de seguridad Wordfence, le da 8,1 sobre 10 (alta) en la escala CVSS, con la complejidad de ataque marcada como alta: hay que acertar justo el momento de la actualización.
- CISA la marca como explotada, no automatizable y con impacto técnico total sobre el sistema.
Traducido: no es la falla más fácil de aprovechar, pero ya hay gente intentándolo. Wordfence contó más de 18.500 solicitudes contra rutas del instalador (setup-config.php) que quedan durante la actualización, en las primeras 21 horas después de la divulgación, y 12.632 intentos bloqueados en las 24 horas previas a la nota de The Hacker News (en inglés) del 4 de noviembre, que es la que cita esas cifras.
Que el riesgo aparezca durante la actualización no es motivo para postergarla: WordPress recomienda actualizar «de inmediato», y la versión corregida es la que cambia ese proceso para las próximas. Quedarse en la vieja es dejar la ventana abierta cada vez que el sitio se actualice.
Para las agencias federales civiles de Estados Unidos, CISA fijó el 6 de noviembre como plazo para aplicar el arreglo en los sistemas expuestos a internet y les exige además una revisión forense, para comprobar si el sistema ya fue comprometido antes del parche. Esa directiva no rige fuera de esas agencias, pero CISA recomienda a todas las organizaciones priorizar las fallas de su catálogo.
Lo que no se sabe
- Quién la explota ni contra quién. CISA no da nombres, cifras de sitios ni países.
- Si se usa en ransomware. La ficha de CISA lo marca como desconocido.
- Cómo saber si a tu sitio ya le entraron. CISA y WordPress no publican indicadores. Según Wordfence, citada por The Hacker News, los intentos apuntan a las rutas del instalador
setup-config.phpque quedan durante la actualización: tu hosting puede buscar esas solicitudes en los registros del servidor. Aparte, las señales generales de cualquier intrusión (usuarios administradores que no creaste, archivos o plugins que no reconocés, redirecciones extrañas) valen para consultarlo con quien mantenga el sitio. - Qué hacer si no podés actualizar ya. Ninguna de las fuentes publica una mitigación alternativa: el único arreglo documentado es la versión corregida.
WordPress 7.1.4 trae además arreglos para otras fallas, en su mayoría de tipo XSS almacenado (código malicioso guardado en el contenido del sitio), así que la actualización suma por partida doble.
Fuentes
- CISA, «CISA Adds One Known Exploited Vulnerability to Catalog» (en inglés), 3 de noviembre de 2026.
- CISA, ficha de CVE-2026-119977 en el catálogo de vulnerabilidades explotadas (en inglés), consultada el 4 de noviembre de 2026. Plazo, acción requerida y revisión forense.
- WordPress, aviso de seguridad GHSA-4w3m-c66w-69mg (en inglés), 29 de octubre de 2026. Versiones afectadas y corregidas, descripción y severidad.
- WordPress News, «WordPress 7.1.4» (en inglés), 28 de octubre de 2026. Cómo actualizar y el resto de los arreglos.
- Registro oficial de CVE-2026-119977 (en inglés), publicado el 31 de octubre de 2026. Puntaje CVSS y evaluación de CISA.
- The Hacker News, «CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades» (en inglés), 4 de noviembre de 2026. Cifras de intentos atribuidas a Wordfence.
- Créditos de imagen: imagen oficial de WordPress News, usada en un fotomontaje editorial asistido por IA.
