在野利用：WordPress 升级那几秒可被拿 shell，4.7 起全中招

Se ha detectado una vulnerabilidad de tipo TOCTOU (un error de sincronización entre la comprobación y el uso de un archivo) identificada como CVE-2026-119977, con una puntuación de riesgo de 8.1. El problema ocurre cuando WordPress descarga paquetes de actualización en la carpeta temporal 'wp-content/upgrade/'. Si un atacante logra enviar una solicitud justo en ese momento, puede inyectar un archivo de configuración malicioso que reemplaza al original, dándole control total sobre el sitio.

El ataque es altamente efectivo porque no requiere una cuenta de usuario ni explotar un plugin; solo requiere que el sitio esté en proceso de actualización. Los atacantes están usando procesos automatizados para vigilar sitios constantemente. Se han registrado más de 18.000 intentos de ataque en apenas 21 horas tras el anuncio del parche.

Las versiones afectadas van desde la 4.7 hasta la 7.1.3 inclusive. El riesgo es mayor en sitios que tienen la carpeta de actualizaciones accesible desde internet o que permiten la ejecución de archivos PHP en esa ruta. Los sitios que usan actualizaciones automáticas o que son gestionados por terceros sin supervisión constante son los objetivos más vulnerables.

Qué significa para una pyme colombiana y cucuteña: Si usted tiene una página web en WordPress (ya sea su sitio oficial, una página de ventas o un portal de clientes), debe actuar de inmediato siguiendo este orden estricto para no quedar expuesto: 1. Primero, bloquee el acceso a la carpeta 'wp-content/upgrade/' mediante su servidor (usando archivos .htaccess en Apache o reglas en Nginx). 2. Una vez bloqueada, proceda a actualizar WordPress a la versión 7.1.4 o la versión de seguridad correspondiente a su rama actual. 3. Finalmente, revise sus registros de acceso (logs) buscando peticiones sospechosas a esa carpeta de actualización; si encuentra algo, su sitio pudo haber sido comprometido.