1 artículo con esta etiqueta
El 28 de octubre de 2026, el proyecto WordPress publicó la versión de seguridad 7.1.4, que corrige un fallo en el proceso de actualización del núcleo que puede llevar a la ejecución remota de código. Según el aviso de seguridad de WordPress en GitHub, durante una actualización del núcleo con un paquete completo, WordPress extraía los archivos nuevos en un directorio predecible dentro de la carpeta de actualización accesible desde la web, y un atacante sin autenticar que gane una carrera contra esa extracción podría lograr la ejecución remota de código (RCE). La corrección llega en 7.1.4 y se ha retroportado a todas las ramas hasta la 4.7 (7.0.8, 6.9.11, 6.8.12, etc.). Wordfence, como CNA, publicó CVE-2026-119977 el 31 de octubre, con una puntuación CVSS v3.1 de 8,1 (alta) y complejidad de ataque alta; el aviso de WordPress la califica como baja y no da puntuación. Según SecurityWeek, un proveedor de seguridad para WordPress vio la primera coincidencia de su nueva regla de firewall nueve minutos después de desplegarla y registró más de 18.500 peticiones dirigidas a ubicaciones temporales de actualización en las primeras 21 horas; el proveedor no ha informado de ningún compromiso exitoso. Este sitio comprobó el catálogo Known Exploited Vulnerabilities (KEV) de CISA el 2 de noviembre y el CVE no figuraba. Los sitios con actualizaciones automáticas en segundo plano deberían actualizarse solos; los que las tienen desactivadas deben actualizar manualmente desde la pantalla Actualizaciones. La conclusión de este sitio: confirme su versión y, si las actualizaciones automáticas no funcionan, actualice a mano hoy.