Análisis de la condición TOCTOU explotada activamente durante actualizaciones completas de WordPress, su alcance, detección y corrección.
title: "CVE-2026-119977: RCE por condición de carrera en las actualizaciones de WordPress Core" summary: "Análisis de la condición TOCTOU explotada activamente durante actualizaciones completas de WordPress, su alcance, detección y corrección." category: Vulnerabilidades tags:
💡 Resumen ejecutivo: CVE-2026-119977 describe una condición de carrera Time-of-Check Time-of-Use (TOCTOU) en las actualizaciones completas de WordPress Core. El problema afecta al intervalo comprendido entre WordPress 4.7.0 y 7.1.3 y puede permitir ejecución remota de código sin autenticación cuando un atacante alcanza una ruta temporal durante la ventana de actualización. CISA incorporó la vulnerabilidad a su catálogo KEV el 3 de noviembre de 2026 por evidencia de explotación activa. La prioridad operativa es actualizar a WordPress 7.1.4 o posterior.
WordPress utiliza el directorio wp-content/upgrade/ como área temporal durante el proceso de actualización del núcleo. El procedimiento estándar implica descargar el paquete de la nueva versión, descomprimirlo en esta ubicación y luego sustituir los archivos de la instalación activa por los nuevos. Una vez finalizado el proceso, el directorio temporal se elimina.
La vulnerabilidad crítica identificada como CVE-2026-119977 surge cuando esta mecánica utiliza rutas de preparación predecibles y accesibles a través de peticiones HTTP externas durante una actualización completa. La condición de carrera se produce en el breve lapso de tiempo en que los archivos están siendo procesados pero aún no han sido integrados en la estructura final. El riesgo no es una explotación pasiva; requiere que un atacante logre sincronizar sus peticiones con la ventana transitoria del proceso de actualización, lo que eleva la complejidad técnica del ataque pero no disminuye su peligrosidad real.
WordPress publicó la versión 7.1.4 el 28 de octubre de 2026 específicamente para mitigar esta debilidad. El anuncio oficial reconoce que la falta de aleatoriedad en las rutas temporales permitía que un actor malicioso interceptara el flujo de actualización. La posterior inclusión en el catálogo KEV por parte de CISA el 3 de noviembre de 2026 confirma que esta falla no es solo teórica, sino que está siendo utilizada activamente en campañas de ataque a gran escala para comprometer servidores web vulnerables.
La vulnerabilidad se clasifica como CWE-367 (Time-of-Check Time-of-Use). En términos prácticos, el sistema verifica la legitimidad de una operación en un momento dado, pero un cambio en el estado del archivo entre esa verificación y su uso final permite la inyección de código.
Los datos clave de la vulnerabilidad se resumen en la siguiente tabla:
| Atributo | Detalle Técnico |
|---|---|
| Identificador | CVE-2026-119977 |
| Producto Afectado | WordPress Core (Núcleo) |
| Clase de Debilidad | CWE-367 (Race Condition) |
| Versiones Vulnerables | 4.7.0 hasta 7.1.3 |
| Versión de Parche | 7.1.4 |
| Puntuación CVSS 3.1 | 8.1 (Alta) |
| Vector de Ataque | Red (AV:N) |
| Complejidad | Alta (AC:H) |
| Estado de Explotación | Explotación activa confirmada |
El flujo de la vulnerabilidad se ilustra en el siguiente diagrama:
PROCESO DE ACTUALIZACIÓN (TIEMPO t)
1. Administrador inicia actualización -> wp-core inicia descarga.
2. Descarga finaliza -> Extracción en /wp-content/upgrade/temp-path/.
[ VENTANA DE VULNERABILIDAD TOCTOU ]
3. Atacante envía peticiones HTTP iterativas a /temp-path/setup-config.php.
4. Si la petición coincide, el atacante secuestra el proceso de configuración.
5. Inyección de credenciales de DB maliciosas o ejecución de comandos.
6. Actualización "finaliza", dejando el sitio bajo control del atacante.
El fallo fundamental no es solo la accesibilidad del directorio, sino la predictibilidad del nombre del subdirectorio de preparación. La versión 7.1.4 introduce una aleatorización estricta mediante hashes únicos para cada sesión de actualización y protecciones de acceso mediante archivos .htaccess generados dinámicamente en el directorio de upgrade.
🔴 Entornos Afectados:
wp-content/upgrade/ no tiene restricciones de ejecución de scripts PHP.🔴 Consecuencias del Compromiso: Una explotación exitosa permite la ejecución remota de código (RCE). Esto se traduce en la capacidad de subir shells, robar bases de datos de usuarios, inyectar malware para visitantes (SEO spam, ransomware) o utilizar el servidor como parte de una botnet.
🟢 Entornos Protegidos:
wp-content/upgrade/ mediante reglas de firewall o configuración de nivel 7 (WAF).Para determinar si un sitio ha sido objetivo de esta vulnerabilidad, es necesario realizar una auditoría de logs y archivos.
wp core version
wp core verify-checksums
.php es altamente sospechosa.find wp-content/upgrade -type f -name "*.php"
grep -E "wp-content/upgrade/.*\.php" /var/log/nginx/access.log | grep " 200 "
La resolución definitiva requiere la actualización del núcleo. Siga estos pasos numerados para asegurar su entorno:
wp-content/upgrade/. Esto evita que el atacante interactúe con el proceso de actualización.wp-config.php en busca de cambios en las claves de sal o credenciales de base de datos sospechosas./upgrade/ bloqueado a nivel de servidor.wp core verify-checksums ejecutado con éxito.CVE-2026-119977 representa un recordatorio crítico de que la seguridad debe ser integral, cubriendo no solo el estado de ejecución de una aplicación sino también sus procesos de mantenimiento. La predictibilidad de las rutas en el proceso de actualización de WordPress Core ha permitido a los atacantes convertir una herramienta de seguridad en un vector de compromiso. La aplicación inmediata del parche 7.1.4, combinada con una postura de "defensa en profundidad" que limite el acceso a directorios temporales, es la única estrategia viable para proteger los millones de sitios web que dependen de este CMS. La vigilancia continua de los logs tras una actualización es, ahora más que nunca, una práctica obligatoria para los administradores de sistemas.
Análisis técnico y guía defensiva sobre una condición use-after-free remota en el kernel Linux, su relación no exclusiva con MPTCP y las medidas prioritarias de actualización, detección y reducción de superficie.
Dos vulnerabilidades críticas en Apache Juneau hasta la versión 9.2.0 afectan la inicialización de clases durante el parseo y la codificación de variables de petición en documentos HTML personalizados.
Análisis técnico de la vulnerabilidad SSHole que permite eludir la autenticación por contraseña en OpenSSH cuando se cumplen cinco condiciones simultáneas en sistemas con musl libc. Incluye detección, impacto real y plan de mitigación paso a paso.