NoticiasNews

WordPress: CISA confirma que se explota una falla durante las actualizaciones del núcleo (CVE-2026-119977)WordPress: CISA confirms a flaw is being exploited during core upgrades (CVE-2026-119977)

2026-11-04

El 3 de noviembre de 2026 la agencia estadounidense CISA incorporó a su catálogo de vulnerabilidades explotadas (KEV) la falla CVE-2026-119977, una condición de carrera (TOCTOU) en el núcleo de WordPress. Según The Hacker News, que lo reportó el 4 de noviembre, el problema nace de rutas de preparación predecibles y accesibles desde la web que se usan durante las actualizaciones completas del núcleo.

Qué se sabe

  • Severidad CVSS 8.1 (alta) y posibilidad de ejecución arbitraria de código.
  • No se necesita cuenta: el atacante debe aprovechar la breve ventana en que el sitio está actualizándose.
  • Wordfence registró más de 18.500 solicitudes dirigidas a rutas de instalación como setup-config.php en las primeras 21 horas tras la divulgación, y 12.632 intentos bloqueados en las últimas 24 horas.
  • Los parches se publicaron a finales de octubre; la fecha límite de CISA para agencias federales es el 6 de noviembre.

Qué conviene hacer

Confirme la versión corregida en el aviso oficial de WordPress/Wordfence y actualice cuanto antes. Si su sitio de ayuda, su portal de clientes o su blog corre sobre WordPress, ejecute las actualizaciones en una ventana controlada, revise los registros en busca de solicitudes a rutas de instalación y asegúrese de tener una copia de seguridad reciente.

Un sitio comprometido no solo expone datos: también deja a los clientes sin un canal confiable de atención. Por eso ayuda tener un respaldo para cuando el sitio falle. Con Servigo365, el equipo de soporte puede seguir recibiendo y dando seguimiento a tickets por varios canales, con historial y SLA, aunque la web pública esté en mantenimiento, y mantener informados a los clientes durante el incidente.

Fuente: The Hacker News y el aviso de CISA.

On November 3, 2026, the US agency CISA added CVE-2026-119977, a time-of-check/time-of-use race condition in WordPress Core, to its Known Exploited Vulnerabilities (KEV) catalog. According to The Hacker News (November 4), the issue stems from predictable, web-accessible staging paths used during full core upgrades.

What is known

  • CVSS 8.1 (high) with potential arbitrary code execution.
  • No account is required: the attacker must hit the short window while the site is upgrading.
  • Wordfence logged more than 18,500 requests targeting installer paths such as setup-config.php in the first 21 hours after disclosure, and 12,632 blocked attempts in the last 24 hours.
  • Patches shipped in late October; CISA's deadline for federal agencies is November 6.

What to do

Confirm the fixed version in the official WordPress/Wordfence advisory and update promptly. If your help site, customer portal or blog runs on WordPress, run upgrades in a controlled window, review logs for requests to installer paths and keep a recent backup.

A compromised site exposes data and also leaves customers without a reliable service channel. That is why a fallback matters. With Servigo365, the support team can keep receiving and tracking tickets across channels, with history and SLAs, even while the public website is under maintenance, and keep customers informed during the incident.

Source: The Hacker News and the CISA alert.

← Volver al blog← Back to blog