Se insta a los administradores de WordPress a restringir el acceso a un directorio temporal de actualización antes de aplicar correcciones para CVE-2026-119977, una vulnerabilidad explotada activamente que afecta a las versiones 4.7 a 7.1.3 de WordPress.
Según el investigador de seguridad Umut Bayram, de Picus Security, algunos sitios pueden permanecer expuestos durante el propio proceso de actualización. Aunque WordPress 7.1.4 y las versiones de las ramas compatibles solucionan el problema, el código de actualización anterior aún puede descomprimir el paquete de actualización en un directorio temporal accesible desde la web antes de que entren en vigor las nuevas protecciones.
El problema se centra en los archivos ubicados en wp-content/upgrade. Durante determinadas actualizaciones del núcleo, WordPress extrae un paquete completo de la versión en esa ubicación. Si un atacante puede predecir o descubrir el nombre de la carpeta temporal y acceder a los archivos del instalador antes de que se eliminen, podría ejecutar código con los permisos del servidor web.
CISA ha añadido la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas. Wordfence informó haber observado actividad de ataques poco después de publicar una regla de firewall para la vulnerabilidad, incluido un comportamiento coherente con intentos de atacar sitios mientras las actualizaciones estaban en curso.
Quiénes podrían verse afectados
El nivel de exposición depende del paquete de actualización entregado a un sitio. Los paquetes completos incluyen componentes del instalador, mientras que los paquetes parciales pueden no incluirlos. Los sitios que se actualizan entre versiones principales o ramas antiguas de WordPress tienen más probabilidades de recibir paquetes completos. En WordPress 5.9 y versiones posteriores, el actualizador antiguo puede utilizar un nombre de directorio temporal predecible, lo que aumenta el riesgo durante la transición a una versión corregida.
Mitigación recomendada
Los administradores deben denegar las solicitudes web a wp-content/upgrade antes de ejecutar una actualización, permitiendo al mismo tiempo que WordPress continúe utilizando el directorio localmente. La restricción puede aplicarse en la configuración del servidor web o, cuando sea necesario, mediante una regla adecuada de Apache en el nivel raíz.
- Confirme que las solicitudes al directorio de actualización devuelvan una respuesta de acceso denegado.
- Instale WordPress 7.1.4 o la versión corregida disponible para la rama compatible que utilice.
- Considere actualizar manualmente los archivos del núcleo desde una ubicación fuera de la raíz web si no es posible modificar los controles del servidor.
- Revise los registros y los archivos en busca de solicitudes inesperadas o archivos PHP dentro de wp-content/upgrade, así como de cuentas de administrador o plugins desconocidos.
El comando estándar de actualización del núcleo de WP-CLI podría no eliminar el problema, ya que utiliza el mismo flujo de trabajo subyacente del actualizador. Las versiones 4.6 y anteriores de WordPress no son compatibles y deben migrarse a una versión mantenida.