Descripción
WordPress WordPress Core contiene una vulnerabilidad de condición de carrera de tipo tiempo de verificación a tiempo de uso (TOCTOU) que podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización. Esto se debe a rutas de preparación predecibles y accesibles desde la web que se utilizan durante las actualizaciones del núcleo mediante paquete completo.
Acción recomendada
Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.
MITRE ATT&CK
Estimado por 8LayerCómo encaja esta vulnerabilidad en un ataque, según el marco MITRE ATT&CK, y qué medidas lo frenan.
- Cómo la explotan
- T1190Explotación de aplicaciones expuestas a InternetAcceso inicial
- Qué logra el atacante
- Qué puede hacer después
- Cómo defenderse
- Mitigaciones que ATT&CK asocia a estas técnicas; complementan la acción recomendada.
MITRE ATT&CK® y ATT&CK® son marcas registradas de The MITRE Corporation. © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. Nombres traducidos por 8Layer.
Referencias
- Aviso de wordpress.org wordpress.org/news/2026/10/wordpress-7-1-4
- Aviso de wordfence.com wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-c…
- BOD 26-04 cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updat…
- Requisitos de triaje forense cisa.gov/news-events/directives/bod-26-04-implementation-guidance-pri…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-119977
Ver el texto original en inglés (CISA)
WordPress WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnerability
WordPress WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Notes: https://wordpress.org/news/2026/10/wordpress-7-1-4 ; https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-119977
Otras vulnerabilidades de WordPress en el catálogo
- CVE-2026-87902 Vulnerabilidad de inclusión de archivos remotos en WordPress Core Alta 25-09-2026
- CVE-2026-63030 Vulnerabilidad de conflicto de interpretación en WordPress Core Alta 21-07-2026
- CVE-2026-60137 Vulnerabilidad de inyección SQL en WordPress Core Alta 21-07-2026
- CVE-2020-25213 WordPress File Manager Plugin Remote Code Execution Vulnerability Alta 03-11-2021
- CVE-2020-11738 WordPress Snap Creek Duplicator Plugin File Download Vulnerability Alta 03-11-2021