Una vulnerabilidad crítica de seguridad en WordPress podría permitir a atacantes tomar el control de sitios web sin necesidad de iniciar sesión, según un informe de Hokanews. La falla afecta las versiones 4.7 a 7.1.3 y aprovecha una breve ventana durante el proceso de actualización de la plataforma, cuando su instalador se vuelve accesible temporalmente a través de una carpeta pública.

WordPress impulsa el 39.5% de todos los sitios web, según información compartida por Coin Bureau, lo que significa que aproximadamente cuatro de cada diez sitios funcionan con el mismo software base. Esa escala le otorga a la debilidad reportada un alcance potencialmente amplio, ya que involucra el propio proceso de actualización de la plataforma y no un solo plugin o tema. La preocupación se centra en la posibilidad de que los atacantes puedan ejecutar su propio código directamente en el servidor de un sitio web durante una actualización completa, un resultado que puede traducirse en el control no autorizado del sitio.

Cómo funciona la vulnerabilidad

Durante una actualización completa de WordPress, la plataforma coloca brevemente su instalador en una carpeta de acceso público. Según Coin Bureau, un atacante que llegue a esa ubicación durante la breve ventana puede ejecutar su propio código en el servidor. Como la exposición solo existe mientras la actualización está en curso, el riesgo está vinculado a ese período de preparación temporal y no a un punto de entrada permanentemente abierto.

La falla no requiere que el atacante inicie sesión en el sitio de WordPress afectado. En cambio, el ataque aprovecha la exposición temporal creada durante el proceso de actualización, lo que podría permitir el control no autorizado del sitio web.

La vulnerabilidad afecta todas las versiones de WordPress desde la 4.7 hasta la 7.1.3. Ese rango cubre casi 10 años de versiones, desde diciembre de 2016, según la información reportada por Coin Bureau. Un rango tan amplio incluye instalaciones de edades muy distintas dentro del rango afectado reportado, y no solo las versiones más recientes.

Wordfence señala la vulnerabilidad CVE-2026-119977

La empresa de seguridad Wordfence señaló el problema, que ahora se registra bajo el identificador CVE-2026-119977. La designación CVE es el sistema de identificación estándar utilizado para catalogar vulnerabilidades de software divulgadas públicamente, y brinda a los investigadores y propietarios de sitios un punto de referencia común para la misma falla. La vulnerabilidad también ha generado actividad de protección de firewall, con Wordfence registrando su primer bloqueo apenas nueve minutos después de que la protección entrara en funcionamiento.

El tiempo reportado indica que el firewall comenzó a bloquear la actividad asociada con la vulnerabilidad poco después de que su protección fuera activada. Sin embargo, el informe no especifica la cantidad de intentos de ataque ni cuántos sitios web pudieron haber sido afectados. Esas dos cifras siguen siendo las principales preguntas abiertas sobre la falla, ya que mostrarían cuánta actividad ha atraído en la práctica.

Con las versiones 4.7 a 7.1.3 incluidas en el rango afectado reportado, la vulnerabilidad concierne a un amplio abanico de versiones de WordPress. La exposición temporal del instalador durante las actualizaciones completas es la debilidad específica descrita en el informe.

El informe original fue escrito por Victoria Hale, redactora de tecnología y blockchain de Hokanews.