Atacantes intentan explotar una vulnerabilidad de alta severidad en WordPress Core, el núcleo del gestor de contenidos más usado del mundo. La falla permite ejecución remota de código (RCE), es decir, que un tercero ejecute sus propias instrucciones en el servidor. Afecta a las versiones 4.7 a 7.1.3, y Wordfence bloqueó 62.969 intentos de ataque en apenas 24 horas.
La vulnerabilidad no tiene identificador CVE asignado. Tiene una puntuación CVSS de 8.1; CVSS es la escala estándar que mide la gravedad de una falla de 0 a 10. WordPress publicó la corrección el 28 de octubre de 2026 en la versión 7.1.4. Según Wordfence, el problema está en las rutas temporales predecibles que WordPress usa durante una actualización completa del núcleo.
Cuando WordPress aplica una actualización de paquete completo, descomprime los archivos nuevos en un directorio predecible dentro de “wp-content/upgrade”. Esa copia incluye el instalador de WordPress. En muchos servidores, ese directorio es accesible desde internet. Un atacante sin credenciales puede invocar el instalador en el momento exacto e interactuar con la copia temporal hasta lograr ejecutar código PHP.
Se trata de una condición de carrera: el atacante debe actuar dentro de una ventana de tiempo muy corta, antes de que WordPress elimine los archivos temporales. El ataque exige cuatro condiciones: una actualización completa que incluya el instalador, acceso web y ejecución PHP en el directorio temporal, una ruta predecible o descubierta, y tiempo suficiente antes de la limpieza. En laboratorio, esa ventana dura solo segundos. Aun así, los atacantes consultan de forma repetida rutas como “setup-config.php”. Dos de las fuentes más activas sondearon pequeños grupos de sitios durante unas 14,5 horas, y otras probaron múltiples variantes de rutas y nombres de versión.
La acción prioritaria es actualizar a WordPress 7.1.4 cuanto antes. Wordfence recomienda revisar los registros del servidor en busca de solicitudes sospechosas a archivos PHP dentro de “wp-content/upgrade”. También conviene verificar si aparecieron cuentas de administrador, plugins o archivos PHP desconocidos. Como medida complementaria, el equipo técnico puede impedir el acceso web y la ejecución de PHP en ese directorio desde la configuración del servidor. Esa restricción elimina una de las condiciones que el ataque necesita.
Qué significa para tu empresa: Si tu sitio corporativo, tienda en línea o portal de clientes usa WordPress, confirma esta semana que ya está en la versión 7.1.4. Revisa también quién administra las actualizaciones y si los registros del servidor muestran accesos a “wp-content/upgrade”. En nuestra experiencia, un WAF para aplicaciones (cortafuegos que filtra el tráfico web antes de que llegue al servidor) bloquea este tipo de sondeos masivos. Además, da margen para aplicar el parche sin quedar expuesto durante la ventana de actualización.
Fuente original: The Hacker News — ver artículo →