CISA confirma explotación de una falla de WordPress Core durante las actualizaciones

CVE-2026-119977 (CVSS 8.1): condición de carrera TOCTOU en la ventana de upgrade. Agencias federales de EE.UU. tienen hasta el 6 de noviembre para parchear.

La agencia estadounidense CISA metió al catálogo KEV una falla de WordPress Core tras evidencia de explotación activa, informó The Hacker News el 4 de noviembre de 2026.

La vulnerabilidad CVE-2026-119977 (CVSS 8.1) es una condición de carrera time-of-check time-of-use (TOCTOU) que puede dejar ejecutar código arbitrario en el servidor durante la ventana de una actualización completa del Core, por rutas de staging predecibles y accesibles por web.

Wordfence dijo que no hace falta cuenta en el sitio, pero sí aprovechar esa ventana breve. En las primeras 21 horas tras la divulgación pública registró más de 18,500 solicitudes contra rutas «setup-config.php» en staging. Las agencias civiles federales de EE.UU. tienen hasta el 6 de noviembre de 2026 para aplicar los parches.

Fuente: The Hacker News: «CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades», 4 de noviembre de 2026.