La agencia estadounidense CISA incorporó una falla del sistema a su catálogo de vulnerabilidades explotadas. La corrección ya está disponible y puede obtenerse desde el portal oficial o el panel de administración.
ESTADOS UNIDOS.— Una vulnerabilidad de WordPress, el sistema utilizado para construir y administrar páginas web, está siendo aprovechada por atacantes y representa un riesgo para las organizaciones que mantengan instalaciones afectadas. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó la falla a su catálogo de vulnerabilidades explotadas el 3 de noviembre de 2026, según confirmó también el Centro Canadiense de Ciberseguridad.
El aviso tiene relevancia para universidades, oficinas públicas, empresas y medios de comunicación cuyos portales funcionen con este software. La exposición depende de la versión instalada y de las condiciones técnicas del sitio; utilizar WordPress no significa, por sí solo, que una página haya sido comprometida.
La falla está identificada como CVE-2026-119977 y afecta al núcleo del sistema, no a un complemento opcional. Su incorporación al catálogo de CISA añade un elemento importante a la advertencia: existen evidencias de explotación, por lo que el problema trasciende una posibilidad teórica.
Una debilidad durante la actualización
Según la ficha técnica de Wordfence, la vulnerabilidad puede permitir que un atacante sin credenciales ejecute código en el servidor durante determinadas actualizaciones completas de WordPress. El problema está relacionado con archivos temporales del proceso de instalación que pueden quedar accesibles desde la web.
La evaluación publicada le asigna una gravedad alta, con una puntuación de 8.1 sobre 10. Sin embargo, el ataque requiere condiciones específicas durante esa ventana de actualización; no equivale a una entrada automática a cualquier sitio.
En un portal institucional, ejecutar código sin autorización podría comprometer su funcionamiento y la información accesible desde el servidor. Para los lectores y usuarios, las consecuencias potenciales incluyen encontrar contenidos alterados o perder temporalmente el acceso a servicios.
La solución fue publicada antes de la alerta
WordPress lanzó la versión 7.1.4 el 28 de octubre de 2026, con una corrección para esta debilidad y otros problemas de seguridad. El anuncio oficial atribuye el reporte de la falla del proceso de actualización al investigador Umut Bayram, de Picus Security.
El proyecto recomienda actualizar los sitios de inmediato. La versión corregida puede descargarse desde WordPress.org o recibirse mediante la sección de actualizaciones del panel de administración. Los sitios con actualizaciones automáticas compatibles pueden obtenerla por esa vía.
También existen correcciones para diversas ramas anteriores. Wordfence identifica, entre otras, las versiones reparadas 6.8.12, 6.9.11 y 7.0.8. Esto importa porque el número principal de una instalación antigua no basta para determinar su exposición: es necesario distinguir entre una versión vulnerable y otra que ya recibió el parche correspondiente.
¿La actualización tiene costo?
La descarga oficial de WordPress no requiere comprar una licencia. Es un proyecto de código abierto, surgido en 2003 y distribuido bajo la licencia GPL. Los posibles cargos por asistencia técnica, alojamiento o mantenimiento corresponden a servicios separados de la obtención del software.
La secuencia de fechas resume el alcance de la noticia: la corrección estaba disponible desde finales de octubre y la confirmación de explotación llegó después. Para las organizaciones que dependen de sus páginas web, esa diferencia muestra que publicar una solución y tenerla instalada son dos momentos distintos de la protección digital.
Fuentes verificables: Centro Canadiense de Ciberseguridad; WordPress: lanzamiento de la versión 7.1.4; Wordfence: descripción técnica y versiones corregidas; WordPress: historia y licencia.