Qué ha cambiado
CISA incorporó el 3 de noviembre de 2026 CVE-2026-119977 al catálogo Known Exploited Vulnerabilities. La vulnerabilidad afecta a WordPress Core y se describe como una condición de carrera de tipo time-of-check to time-of-use en el proceso de actualización. Un atacante no autenticado puede aprovechar la ventana de actualización para ejecutar código.
La entrada de KEV no equivale a una demostración pública de explotación ni ofrece una receta operativa. Sí cambia la prioridad: para una organización que mantenga WordPress expuesto, la vulnerabilidad deja de ser un asunto para el siguiente ciclo ordinario y pasa a requerir verificación inmediata.
El fallo está en el proceso de actualización
La particularidad de CVE-2026-119977 es que el riesgo se concentra en una transición: el sistema está sustituyendo componentes y debe mantener coherentes los controles que comprueban qué se instala y desde dónde se ejecuta. Una condición de carrera puede hacer que la comprobación y el uso del recurso vean estados distintos.
El aviso público no justifica explicar pasos de explotación. Para defenderse basta con entender el impacto: una instalación vulnerable puede quedar expuesta durante una operación administrativa que normalmente se considera rutinaria. Por eso los controles deben cubrir también el mantenimiento, no solo el tráfico normal del sitio.