Vulnerabilidad de condición de carrera de tiempo de comprobación y tiempo de uso (TOCTOU) en el núcleo de WordPress

Qué pasó

WordPress WordPress Core contiene una falla de condición de carrera de tiempo de comprobación y tiempo de uso (TOCTOU) que podría permitir a atacantes no autenticados ejecutar código en el servidor durante la ventana de actualización, debido a rutas de espera predecibles y accesibles desde la web utilizadas durante actualizaciones de paquetes completos del núcleo.

Texto original: WordPress WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.

Qué hacer

Instala la corrección que publicó WordPress para WordPress Core. Si aún no existe, aplica sus medidas temporales o deja de usar el producto. La fecha límite que CISA dio a las agencias de EE. UU. venció el 6 de noviembre de 2026: si aún no lo corriges, hazlo cuanto antes.

Datos

Gravedad

Alta

Tipo

Vulnerabilidad

Identificador

CVE-2026-119977

Qué tan usado

Muy usado. Está en la lista de productos de uso común de la metodología.

Probabilidad de ataque

1.2 % en los próximos 30 días (EPSS, FIRST.org)

Fecha límite de CISA

6 de noviembre de 2026 (para agencias de EE. UU.)

Publicada por la fuente

3 de noviembre de 2026

Vista por primera vez

13 de noviembre de 2026 a las 11:49 a.m. (hora de México)

Etiquetas

WordPress WordPress Core

Fuente

CISA Known Exploited Vulnerabilities · Dominio público (EE. UU.)