Fallo crítico en WordPress permite a atacantes tomar el control de su sitio web durante las actualizaciones

La Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) de Estados Unidos ha incluido una vulnerabilidad en el núcleo de WordPress (CVE-2026-119977) en su catálogo de fallos explotados de forma activa. El problema, con una calificación de gravedad de 8.1 sobre 10, es una "condición de carrera" de tipo TOCTOU (tiempo de comprobación frente al tiempo de uso). Esto significa que un atacante puede aprovechar un breve intervalo de segundos durante el proceso de actualización del sistema para inyectar y ejecutar código de ataque en el servidor.

El fallo afecta a las versiones de WordPress desde la 4.7 hasta la 7.1.3. Según reportes de la firma de seguridad Wordfence, se han detectado más de 18.500 solicitudes maliciosas dirigidas a rutas de instalación específicas, como "setup-config.php", en menos de un día. Lo más preocupante es que el atacante no necesita tener una cuenta registrada en el sitio para lograr el acceso, ya que aprovecha que el sistema utiliza carpetas temporales con nombres predecibles dentro de la ruta "wp-content/upgrade" durante las actualizaciones completas.

Aunque los parches de seguridad se publicaron el 28 de octubre de 2026, la confirmación de ataques reales ha elevado la urgencia de la corrección. La versión 7.1.4 soluciona el problema al aleatorizar estas carpetas temporales. Expertos advierten que, dado que el ataque ocurre justamente cuando el sitio se está actualizando, es fundamental verificar manualmente que el proceso termine con éxito y que no queden rastros de archivos sospechosos en el servidor una vez finalizada la tarea.

Qué significa para una pyme colombiana y cucuteña: Si su empresa usa WordPress para su página web o catálogo, debe ingresar hoy mismo al panel de administración y verificar en la sección 'Escritorio > Actualizaciones' que tenga instalada la versión 7.1.4 (o la versión corregida de su rama específica). No asuma que la actualización automática funcionó; compruébelo manualmente. Si su sitio estuvo sin actualizar entre el 28 de octubre y hoy, pida a su encargado de sistemas que revise los registros (logs) del servidor buscando accesos sospechosos a la carpeta 'wp-content/upgrade'. Un sitio comprometido puede ser usado para mostrar publicidad falsa a sus clientes o robar información de contacto.