El 3 de noviembre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) confirmó que una falla del núcleo de WordPress, identificada como CVE-2026-119977, está siendo explotada activamente y la sumó a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). WordPress ya había lanzado la versión 7.1.4 el 28 de octubre para corregirla.
Si tu sitio, tienda online o la web de tu negocio corre sobre WordPress — como corre una enorme parte de los sitios chicos y medianos en Uruguay —, esto te importa aunque nunca hayas tocado el servidor en tu vida: la falla permite que alguien ejecute código en tu sitio sin iniciar sesión, en una ventana muy puntual durante el proceso de actualización del propio WordPress.
Qué es la vulnerabilidad y por qué importa
El problema técnico, en simple
Cuando WordPress se actualiza a una versión nueva completa (no un parche menor), el proceso guarda archivos temporales de instalación en una ubicación predecible y, por un momento, accesible desde la web. La falla CVE-2026-119977 es justamente ahí: durante esa ventana breve, alguien que sepa dónde buscar puede aprovecharla para ejecutar código en el servidor, sin necesidad de usuario ni contraseña. Es lo que se conoce como una condición de carrera (el ataque tiene que "ganarle" al reloj del propio proceso de actualización).
Afecta a WordPress Core desde la versión 4.7.0 hasta la 7.1.3 — es decir, prácticamente cualquier instalación que no se haya actualizado en las últimas semanas.
Qué dice CISA y por qué hay discrepancia sobre la gravedad
CISA confirmó explotación activa y exigió a las agencias federales de EE.UU. parchear antes del 6 de noviembre. Pero hay algo para aclarar: no todas las fuentes coinciden en qué tan grave es. Wordfence le asigna una puntuación alta (CVSS 8,1), mientras que el propio equipo de WordPress calificó la falla como "baja" en su aviso oficial. No hay, hasta el momento de esta nota, un exploit público ampliamente disponible. Esto no significa que no haya que actualizar — CISA no agrega fallas a su catálogo por las dudas, solo cuando confirma explotación real —, pero sí conviene actuar con la urgencia real del caso, sin pánico.
Si tenés un sitio o tienda en WordPress, esto es lo que tenés que revisar
Paso 1: confirmá qué versión de WordPress tenés
Entrá al panel de administración de tu sitio (tusitio.com/wp-admin) y mirá el número de versión, generalmente visible en el panel principal o en "Actualizaciones". Si ves cualquier versión entre la 4.7 y la 7.1.3, estás expuesto.
Paso 2: actualizá a la versión 7.1.4 (y no interrumpas el proceso)
La solución ya existe: la versión 7.1.4, publicada el 28 de octubre. Si tu panel te ofrece actualizar, hacelo — y dejá que el proceso termine solo, sin cerrar la pestaña ni apagar nada a mitad de camino (irónicamente, es justo esa ventana de actualización la que explota esta falla puntual, así que conviene hacerla en un momento de tráfico bajo y sin interrupciones).
Paso 3: si no administrás vos mismo el sitio, contactá a quien te hostea o a tu agencia
Si tu web la armó una agencia, un freelancer, o directamente no sabés quién la administra técnicamente, no necesitás entender el detalle técnico de más arriba: alcanza con escribirles y preguntar puntualmente "¿ya actualizamos a WordPress 7.1.4 por la vulnerabilidad CVE-2026-119977?". Es una pregunta concreta que cualquier persona que administre sitios WordPress va a entender de inmediato.
Un detalle para evitar que esto se repita: las actualizaciones automáticas
Muchos paneles de WordPress (y la mayoría de los hostings orientados a pymes) permiten activar actualizaciones automáticas para las versiones principales, no solo para los parches menores de seguridad. Si tu sitio tiene esa opción activada, es probable que ya hayas recibido la 7.1.4 sin hacer nada — igual conviene confirmarlo, porque algunos plugins o configuraciones personalizadas desactivan esa opción para evitar roturas, y quedan atrás sin que nadie se dé cuenta durante meses.
En qué se diferencia de la vulnerabilidad de PHP que cubrimos en octubre
Si seguís este blog, puede sonarte parecido a lo que contamos sobre PHP2Shell a fines de octubre — pero son dos cosas distintas. Aquella vulnerabilidad afectaba directamente al lenguaje PHP que corre por debajo de WordPress y de muchos otros sistemas. Esta de ahora es específica del núcleo de WordPress (el software en sí, no el lenguaje en el que está escrito) y aparece solo durante el proceso puntual de actualización. Si tenés WordPress, te conviene revisar las dos: no se solucionan con el mismo parche.
Qué hacer si sospechás que ya te vulneraron
Actualizar corrige la puerta de entrada hacia adelante, pero no deshace un ataque que ya haya ocurrido. Si tu sitio viene mostrando comportamientos raros (usuarios administradores que no reconocés, archivos nuevos en el servidor, redirecciones inesperadas, caída del rendimiento), valen estas acciones, además de actualizar:
- Cambiá las contraseñas de administrador del sitio y, si podés, también las del hosting y la base de datos.
- Pedile a quien te hostea que revise los registros (logs) del servidor alrededor de la fecha de una actualización reciente, buscando pedidos a archivos de instalación que no deberían estar ahí (como
setup-config.php) fuera del horario en que vos hiciste la actualización. - Si no tenés certeza de que el sitio esté limpio, conviene una revisión profesional antes de seguir operando con datos de clientes o pagos en él.
Esto conecta con algo que ya repetimos antes en este blog: la base de un sitio seguro no es un plugin mágico, son los pasos de siempre — mantener todo actualizado, contraseñas fuertes y un hosting confiable que aplique parches con rapidez. Si querés un repaso más completo de buenas prácticas, también tenemos una guía general de ciberseguridad para pymes.
En resumen
Si tu negocio tiene un sitio o tienda en WordPress, esta semana conviene confirmar que estás en la versión 7.1.4 o superior. No hace falta entender la condición de carrera técnica para protegerte: alcanza con actualizar vos mismo si podés, o escribirle a quien administra tu sitio con la pregunta puntual sobre el CVE-2026-119977. Es un trámite de cinco minutos que evita un problema mucho más caro después.
(Nota: las URLs de los 3 artículos internos citados arriba son slugs estimados según el patrón de nombre de archivo del sitio, no confirmados contra el sitio real — a confirmar por el usuario.)
Fuentes:
- CISA Confirms Exploitation of WordPress Core Upgrade Flaw — eSecurityPlanet
- CISA flags WordPress RCE flaw as actively exploited in attacks — BleepingComputer
- U.S. CISA adds WordPress flaw to its Known Exploited Vulnerabilities catalog — SecurityAffairs
- WordPress core bug added to CISA's exploited vulnerabilities list — SC World
- CVE-2026-119977: When Updating WordPress Becomes the Vulnerability — Picus Security
¿Querés llevar tu negocio al mundo digital con un sitio que se mantenga actualizado y seguro? En Buyar hacemos sitios web, tiendas online y más, adaptados a tu negocio uruguayo, con el mantenimiento incluido. Contactanos y pedí tu cotización.
