Una falla de seguridad en WordPress está siendo atacada activamente durante el proceso de actualización del sitio. La firma de ciberseguridad Wordfence ha bloqueado más de 240.000 intentos de explotación al 6 de noviembre, y los reguladores de EE. UU. han dado a las agencias federales un plazo para aplicar el parche. La vulnerabilidad, identificada como CVE-2026-119977, no depende de contraseñas débiles ni de plugins antiguos. En cambio, reside en la forma en que WordPress maneja ciertas actualizaciones completas del software.

Durante estas actualizaciones, WordPress descomprime brevemente los archivos de instalación en una carpeta accesible al público. La ventana dura solo segundos, pero ese breve momento es exactamente lo que los atacantes intentan aprovechar.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Cómo funciona el ataque

Un atacante que acceda a esos archivos en el momento preciso podría ejecutar código PHP malicioso. No necesitaría iniciar sesión en el sitio primero, y las contraseñas débiles o los plugins desactualizados no tienen ningún rol en el exploit. Un ataque exitoso podría permitirle instalar puertas traseras, cambiar el contenido del sitio, crear cuentas de administrador no autorizadas o robar información sensible. Los errores que no requieren credenciales se cuentan entre las clases más graves de vulnerabilidades web, porque las defensas habituales de inicio de sesión —contraseñas fuertes, autenticación de dos factores, buena gestión de plugins— nunca entran en juego.

La falla tiene una puntuación de severidad CVSS de 8.1 sobre 10, lo que la coloca en la categoría de alto riesgo de la escala estándar de vulnerabilidades de 0 a 10. Según Wordfence, afecta a las versiones de WordPress 4.7 a 7.1.3, un rango que abarca casi una década de versiones. Dado que WordPress opera alrededor del 39.5% de todos los sitios web del mundo, según W3Techs, la población de sitios potencialmente expuestos es considerable: una sola falla en el núcleo del software puede poner blogs, medios de comunicación y empresas en el mismo grupo de riesgo hasta que apliquen el parche.

Wordfence señala que los atacantes comenzaron a explotar la falla el 28 de octubre, el mismo día en que WordPress publicó su actualización de seguridad. En toda la industria del software, la publicación de una corrección pública se considera una posible señal de arranque para los atacantes, ya que los parches pueden revelar las debilidades que reparan —una de las razones por las que los equipos de seguridad presionan a los administradores para que actualicen de inmediato en lugar de seguir un calendario rutinario. El monitoreo temprano detectó más de 18.500 solicitudes sospechosas en unas 21 horas, y las cifras luego crecieron de forma constante. Al 6 de noviembre, el firewall de Wordfence había bloqueado más de 240.000 intentos de explotación. El día más activo fue el 30 de octubre, cuando se bloquearon más de 74.000 solicitudes maliciosas.

Los investigadores también observaron que los atacantes sondean los sitios repetidamente durante largos períodos, aparentemente esperando que los sitios vulnerables entren en la breve ventana de actualización en la que los archivos de instalación se vuelven accesibles al público. Las solicitudes bloqueadas no equivalen a hackeos confirmados. La explotación requiere una precisión de tiempo que hace que tomar el control de un sitio sea considerablemente más difícil que enviar una solicitud. Aun así, el volumen de tráfico muestra un marcado interés por parte de los atacantes.

Corrección, plazo y recomendaciones para los propietarios de sitios

WordPress publicó la versión 7.1.4 el 28 de octubre. Esta versión corrige la falla junto con varios otros problemas de seguridad, y también hay parches disponibles para las ramas antiguas con soporte, por lo que los administradores de versiones heredadas también pueden aplicar las correcciones.

El 3 de noviembre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) agregó la falla a su catálogo de vulnerabilidades explotadas conocidas —una lista reservada para errores confirmados como explotados activamente— y dio a las agencias federales civiles hasta el 6 de noviembre para corregirla. Las entradas del catálogo son obligatorias y no meramente informativas: bajo la Directiva Operativa Vinculante 22-01 de CISA, las agencias federales civiles deben remediar las vulnerabilidades listadas antes del plazo asignado a cada error. CISA ha confirmado que la falla se está explotando en la práctica.

Los investigadores también advirtieron sobre un inconveniente para los sitios que siguen siendo vulnerables. Debido a que el software antiguo, sin parche, maneja el primer paso de la actualización, un sitio puede permanecer expuesto incluso mientras instala la propia actualización que corrige la falla. Wordfence recomienda bloquear el acceso web a los archivos PHP del directorio /wp-content/upgrade/ antes de iniciar la actualización.

La empresa ya añadió protección de firewall para sus clientes Premium, Care y Response, y los usuarios del plugin gratuito recibirán la misma protección el 27 de noviembre. Se indica a los administradores que confirmen que la actualización terminó, revisen los registros del servidor y verifiquen las cuentas de administrador en busca de cambios no autorizados.

Los negocios de cripto que funcionan sobre WordPress enfrentan un riesgo adicional, según los informes. Los exchanges, los proyectos blockchain y los sitios de noticias cripto podrían sufrir alteraciones en su sitio web o la inyección de enlaces de phishing. La falla no afecta directamente a las redes blockchain ni a las wallets, pero un sitio hackeado aún podría engañar a los visitantes para que conecten wallets o aprueben transacciones falsas —un recordatorio de que, para las empresas cripto, el sitio web frente a la cadena es parte de su seguridad operativa.

Al 6 de noviembre, Wordfence había bloqueado más de 240.000 intentos de explotar la vulnerabilidad, y se insta a los administradores a instalar WordPress 7.1.4, aplicar las protecciones de directorio recomendadas y verificar sus sitios después. Las fechas ahora en el calendario —el plazo federal de parche del 6 de noviembre y el despliegue de la protección de firewall para usuarios del plugin gratuito el 27 de noviembre— son los puntos de control visibles a medida que se desarrolla la respuesta, junto con el conteo continuo de intentos bloqueados de Wordfence.