¿Qué es la vulnerabilidad CVE-2026-119977 en WordPress Core?
CVE-2026-119977 corresponde a una vulnerabilidad crítica de condición de carrera de tipo time-of-check time-of-use (TOCTOU) localizada en WordPress Core referencia de seguridad. El fallo se origina debido al uso de rutas de preparación (staging) predecibles y accesibles mediante la web durante las actualizaciones completas del núcleo.
Con una puntuación CVSS de 8.1, esta debilidad permite que atacantes sin autenticación previa ejecuten código arbitrario en el servidor fallo en Bluetooth L2CAP aprovechando la ventana temporal de actualización. La incidencia ha sido recopilada en catálogos oficiales de explotación activa.
¿A quién afecta este fallo de condición de carrera?
El problema afecta de manera directa a los sitios web autohospedados que ejecutan actualizaciones de paquetes completos del núcleo y que no han aplicado los parches de seguridad pertinentes. Al igual que ocurre al analizar desbordamiento de búfer en OpenAirInterface, la falta de validación estricta expone los servicios a riesgos severos.
La naturaleza predecible de las rutas de archivos temporales expuestas en la web facilita que actores maliciosos intenten comprometer la infraestructura durante los procesos de mantenimiento rutinario del sistema.
¿Cómo me protejo?
La mitigación principal pasa por actualizar los componentes afectados a las versiones corregidas y revisar las configuraciones del servidor web para limitar el acceso a directorios temporales.
Sigue estos pasos para asegurar tu entorno:
1. Comprueba la versión actual de tu instalación de WordPress y procede a actualizarla de inmediato a la versión corregida.
2. Revisa los registros del servidor web en busca de accesos extraños a rutas de actualización temporales durante las ventanas de mantenimiento.