CISA añade CVE-2026-119977 de WordPress al catálogo de fallos explotados

CISA añadió el 3 de noviembre CVE-2026-119977 al catálogo Known Exploited Vulnerabilities (KEV), que reúne fallos con explotación conocida. El Centro Canadiense de Ciberseguridad identifica como afectado WordPress Core anterior a 7.1.4; la versión 7.1.4, publicada el 28 de octubre, ya contiene una corrección. El aviso de WordPress describe el problema como una debilidad en el proceso de actualización capaz de permitir ejecución remota de código durante la propia ventana de upgrade.

-InfraCrew dice: el sitio puede estar en mantenimiento unos minutos; la ventana vulnerable tampoco necesita convertirse en la visita permanente de alguien.-

No es un fallo de un plugin

WordPress vincula la corrección a una debilidad del mecanismo de actualización del núcleo, no a un complemento concreto. El riesgo está ligado al periodo en que el sitio reemplaza sus archivos: no equivale a una puerta abierta continuamente en todas las páginas, y las fuentes no publican condiciones suficientes para reconstruir desde aquí cada paso del exploit. Sí lo describen como ejecución remota de código durante esa ventana, un impacto que puede terminar dando control sobre el proceso PHP y los datos que administra el sitio.

Que CISA lo haya incluido en el KEV eleva la prioridad porque la catalogación se basa en evidencia de explotación. No cuantifica cuántas instalaciones han sido atacadas, quién las ha comprometido ni si un sitio concreto sufrió acceso. Es una señal para reducir exposición y verificar despliegues, no una prueba de intrusión en cada WordPress vulnerable.

-InfraCrew dice: “está en el catálogo” cambia el orden de la cola; no sustituye la investigación del servidor que ya estaba expuesto.-

Versiones y corrección

El Centro Canadiense marca como afectado WordPress Core anterior a 7.1.4. La nota de lanzamiento de 7.1.4, fechada el 28 de octubre, confirma que el equipo de seguridad incluyó una debilidad del flujo de actualización con posible RCE durante la ventana de upgrade. WordPress indicó también que los arreglos se estaban retroportando a las ramas que aún reciben correcciones de seguridad, hasta la 4.7; no todas las ramas antiguas tienen por ello una versión idéntica a 7.1.4.

Para sitios en la rama actual, la referencia publicada es 7.1.4. En una instalación administrada por un proveedor, conviene confirmar qué versión está realmente activa y si el proceso automático terminó; ver el panel configurado para actualizar no demuestra que el código nuevo se haya aplicado. Si el sitio está en una rama antigua, hay que usar la corrección que publique el proveedor para esa rama, no comparar su número de versión sin contexto.

El lanzamiento reúne varios arreglos de seguridad, así que la revisión no debería limitarse a buscar el identificador de esta CVE en un changelog local. El dato práctico es la versión efectiva del núcleo que atiende tráfico, junto con la confirmación de que la actualización quedó completa. En plataformas con muchos sitios, la tarea debe cubrir también instalaciones de intranet, micrositios y entornos que no aparecen en el inventario comercial principal.

Qué puede concluir un administrador

El aviso confirma tres hechos útiles: el producto es WordPress Core, la versión afectada es anterior a 7.1.4 y CISA incorporó el CVE al KEV el 3 de noviembre. No aporta telemetría de cada proveedor ni una lista de URL observadas, por lo que no existe un indicador público en estas fuentes que permita descartar o confirmar compromiso solo con una búsqueda rápida en los logs. Si la instalación sigue vulnerable, la prioridad es actualizar por la ruta soportada y comprobar el resultado; si ya lo está, el siguiente paso es revisar cualquier alerta o actividad anómala con el equipo que opera el hosting.

El caso recuerda una diferencia importante en la respuesta a incidentes: corregir la causa en el software reduce exposición futura, pero no responde por sí solo a la pregunta de si el sistema fue atacado antes del parche. La inclusión en KEV justifica adelantar la actualización y verificarla; no convierte automáticamente cada sitio previo a 7.1.4 en una brecha confirmada.

-InfraCrew dice: el inventario que incluye los sitios “pequeños y temporales” suele ser el que más agradece una segunda pasada.-

Diccionario de la Crew

KEV — Catálogo de CISA de vulnerabilidades para las que existe evidencia de explotación conocida.

RCE — Ejecución remota de código; permite que una solicitud remota provoque la ejecución de instrucciones en el servidor.