CVE-2026-119977 Ejecución remota de código en WordPress Core durante la actualización

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 3 de noviembre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 6 de noviembre de 2026. Corregirla es prioritario.

Afectados

• WordPress Foundation WordPress

  desde 4.7.0 hasta 4.7.38desde 4.8.0 hasta 4.8.33desde 4.9.0 hasta 4.9.34desde 5.0.0 hasta 5.0.30desde 5.1.0 hasta 5.1.27desde 5.2.0 hasta 5.2.29desde 5.3.0 hasta 5.3.26desde 5.4.0 hasta 5.4.24desde 5.5.0 hasta 5.5.23desde 5.6.0 hasta 5.6.22desde 5.7.0 hasta 5.7.20desde 5.8.0 hasta 5.8.18desde 5.9.0 hasta 5.9.19desde 6.0.0 hasta 6.0.17desde 6.1.0 hasta 6.1.15desde 6.2.0 hasta 6.2.14desde 6.3.0 hasta 6.3.13desde 6.4.0 hasta 6.4.13desde 6.5.0 hasta 6.5.13desde 6.6.0 hasta 6.6.10desde 6.7.0 hasta 6.7.10desde 6.8.0 hasta 6.8.11desde 6.9.0 hasta 6.9.10desde 7.0.0 hasta 7.0.7

Qué hacer

1. Verificá si usás WordPress y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
4. Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• foxcornlab/wordpress-core-scanner ↗Detection-only local triage scanner for CVE-2026-119977 (CISA KEV 2026-11-03) in WordPress Core: grades versions 4.7-7.1.3 against per-branch fixes (7.1.4 and backports) and flags wp-content/upgrade…04 NOV · 10:46
• tc4dy/CVE-2026-119977-Toolkit ↗CVE-2026-119977 – WordPress Core Upgrade-Window RCE (CVSS 8.1) | Red/Blue Team Toolkit. Predictable staging dir takeover, wp-config.php promotion, Bait MySQL proof, WAF origin discovery…05 NOV · 22:46
• mehmet-emir-eroglu/CVE-2026-119977 ↗Read-only local WordPress version assessment for CVE-2026-119977.08 NOV · 16:53

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

• Vector de ataqueRed
• Complejidad del ataqueAlta
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadAlta

Descripción original

WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.

Referencias (10)

• www.wordfence.com/threat-intel/vulnerabilities/id/4b4da0cf-d9f4-47c4-a0e8-6c4dc5a6f250?so…
• core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/includes/class-wp-upgrader.php#L3…
• core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/includes/class-core-upgrader.php#…
• core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/includes/update-core.php#L1549
• core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/setup-config.php#L282
• core.trac.wordpress.org/browser/tags/7.1.4/src/wp-admin/includes/class-wp-upgrader.php#L3…
• core.trac.wordpress.org/browser/tags/7.1.4/src/wp-admin/includes/update-core.php#L1545
• wordpress.org/news/2026/10/wordpress-7-1-4/
• www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unau…
• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-119977

Historial (4)

1. 03 NOV · 09:00EXPLOTADA ACTIVAMENTEIncluida en el catálogo de explotación activa de CISA.
2. 04 NOV · 10:46EXPLOIT PÚBLICOSe publicó foxcornlab/wordpress-core-scanner.
3. 05 NOV · 22:46EXPLOIT PÚBLICOSe publicó tc4dy/CVE-2026-119977-Toolkit.
4. 08 NOV · 16:53EXPLOIT PÚBLICOSe publicó mehmet-emir-eroglu/CVE-2026-119977.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.