RCE
5 artículos con esta etiqueta
Fallo de WordPress 7.1.4 CVE-2026-119977: se corrige una condición de carrera en la actualización del núcleo que puede llevar a la ejecución remota de código; compruebe su versión y las actualizaciones automáticas
El 28 de octubre de 2026, el proyecto WordPress publicó la versión de seguridad 7.1.4, que corrige un fallo en el proceso de actualización del núcleo que puede llevar a la ejecución remota de código. Según el aviso de seguridad de WordPress en GitHub, durante una actualización del núcleo con un paquete completo, WordPress extraía los archivos nuevos en un directorio predecible dentro de la carpeta de actualización accesible desde la web, y un atacante sin autenticar que gane una carrera contra esa extracción podría lograr la ejecución remota de código (RCE). La corrección llega en 7.1.4 y se ha retroportado a todas las ramas hasta la 4.7 (7.0.8, 6.9.11, 6.8.12, etc.). Wordfence, como CNA, publicó CVE-2026-119977 el 31 de octubre, con una puntuación CVSS v3.1 de 8,1 (alta) y complejidad de ataque alta; el aviso de WordPress la califica como baja y no da puntuación. Según SecurityWeek, un proveedor de seguridad para WordPress vio la primera coincidencia de su nueva regla de firewall nueve minutos después de desplegarla y registró más de 18.500 peticiones dirigidas a ubicaciones temporales de actualización en las primeras 21 horas; el proveedor no ha informado de ningún compromiso exitoso. CISA añadió el CVE a su catálogo Known Exploited Vulnerabilities (KEV) el 3 de noviembre (la ficha de KEV da a las agencias federales de EE. UU. como fecha límite el 6 de noviembre, y CISA les exige, además de parchear, un triaje forense según BOD 26-04). Los sitios con actualizaciones automáticas en segundo plano deberían actualizarse solos; los que las tienen desactivadas deben actualizar manualmente desde la pantalla Actualizaciones. La conclusión de este sitio: trátelo como explotado, actualice hoy y, si su actualización fue tardía, compruebe si hay señales de compromiso (consejo de este sitio).
Deserialización insegura: el riesgo de dejar que los datos externos elijan el tipo de objeto y cómo evitarlo
El peligro de la deserialización no es que lleguen valores malos, sino que algunos formatos dejan que los datos externos decidan qué tipo de objeto se construye. Por eso el daño no se queda en datos corruptos: OWASP enumera denegación de servicio, elusión del control de acceso y ejecución remota de código. Dos defensas: pasar a un formato de datos puro para que nada elija tipos por ti, y firmar los mensajes serializados para no restaurar nunca los que no estén firmados. Y algunos mecanismos no se pueden hacer seguros con configuración; la única solución es no usarlos.
Vulnerabilidades en la subida de archivos: cómo evitar web shells y RCE desde el diseño
El problema de una vulnerabilidad de subida no es «recibir un archivo», sino dónde lo pones y si se puede ejecutar. Punto de subida sin autenticación + sin validación del tipo + guardado bajo la raíz web + scripts que se ejecutan ahí = web shell → RCE. Defiéndete por capas: (1) autenticación/permisos + CSRF en el punto de subida, (2) lista de permitidos en el servidor + inspección del contenido, (3) almacenamiento fuera de la raíz web (o ejecución desactivada), (4) nombres aleatorios y nunca confiar en rutas del usuario. No dependas de un solo control; ten algo que pueda detener el ataque en cada paso.
Qué es la RCE (ejecución remota de código): por qué es la peor clase de fallo
La RCE permite a un atacante ejecutar código arbitrario en tu servidor: directo a la toma de control, la peor clase. Hasta dónde se extiende el daño lo determinan los privilegios del proceso en ejecución. Las defensas centrales son el parcheo rápido, la monitorización de CVE y los privilegios mínimos.
Una clave de API se filtró desde código escrito por IA y se usó para cargos fraudulentos: la causa era una vulnerabilidad CVSS 10.0 sin parchear
El pico en la factura fue un síntoma. La causa era un RCE CVSS 10.0 publicado y sin parchear. Un caso anonimizado, destilado en lecciones defensivas.