[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre":3,"prev-/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre":468,"next-/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre":471,"related-/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre":474,"author-Diego Herrera":494},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":422,"cta":423,"date":428,"dateModified":428,"description":429,"draft":430,"extension":431,"faq":432,"featured":430,"howto":445,"image":446,"imageAlt":447,"intent":448,"keywords":449,"meta":454,"navigation":455,"path":456,"publishedTime":457,"readingTime":458,"seo":459,"seoTitle":460,"stem":461,"tags":462,"__hash__":467},"blog/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre.md","CISA marca como explotada la falla de WordPress que ataca justo mientras actualizas: bloquea wp-content/upgrade antes de pasar a 7.1.4","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":412},"minimark",[11,39,50,55,79,95,185,188,192,207,210,214,221,285,292,300,304,307,347,354,358,368,372,393,396,399,408],[12,13,14,18,19,22,23,26,27,30,31,34,35,38],"p",{},[15,16,17],"strong",{},"El momento más peligroso para tu sitio puede ser el de actualizarlo."," La agencia de ciberseguridad de Estados Unidos (",[15,20,21],{},"CISA",") agregó este ",[15,24,25],{},"martes 3 de noviembre de 2026"," la ",[15,28,29],{},"CVE-2026-119977"," de ",[15,32,33],{},"WordPress"," a su catálogo de vulnerabilidades explotadas (KEV), con plazo al ",[15,36,37],{},"viernes 6 de noviembre"," para que las dependencias federales la atiendan. El plazo obliga solo al gobierno estadounidense, pero la inclusión en KEV significa que hay evidencia de explotación real.",[12,40,41,42,45,46,49],{},"La falla ya tiene parche desde el ",[15,43,44],{},"28 de octubre"," (WordPress 7.1.4). Lo inusual es dónde está el riesgo: en el ",[15,47,48],{},"proceso de actualización del core",". Si tu sitio todavía no se actualiza, el paso que lo arregla es el mismo que abre la ventana. Por eso conviene hacerlo en orden.",[51,52,54],"h2",{"id":53},"qué-es-la-cve-2026-119977","Qué es la CVE-2026-119977",[12,56,57,58,61,62,65,66,70,71,74,75,78],{},"Según el aviso de seguridad de WordPress (GHSA-4w3m-c66w-69mg, publicado el 29 de octubre), cuando el sitio se actualiza con el ",[15,59,60],{},"paquete completo",", WordPress extraía los archivos nuevos en una carpeta ",[15,63,64],{},"predecible"," dentro de ",[67,68,69],"code",{},"wp-content/upgrade/",", que es accesible desde internet. Un atacante ",[15,72,73],{},"sin usuario ni contraseña"," que alcance esos archivos antes de que termine la extracción puede ",[15,76,77],{},"ejecutar código"," en el servidor.",[12,80,81,82,86,87,90,91,94],{},"CISA la describe como una condición de carrera de tipo ",[83,84,85],"em",{},"time-of-check time-of-use"," (CWE-367). Según Daily Security Review, el archivo que buscan los atacantes es el instalador ",[67,88,89],{},"setup-config.php"," en esa ruta temporal, y en pruebas de laboratorio la ventana dura ",[15,92,93],{},"segundos",". Para ganar la carrera, los atacantes consultan los sitios una y otra vez esperando el momento de una actualización.",[96,97,98,111],"table",{},[99,100,101],"thead",{},[102,103,104,108],"tr",{},[105,106,107],"th",{},"Dato",[105,109,110],{},"Detalle",[112,113,114,122,130,138,153,161,169,177],"tbody",{},[102,115,116,120],{},[117,118,119],"td",{},"CVE",[117,121,29],{},[102,123,124,127],{},[117,125,126],{},"Versiones afectadas",[117,128,129],{},"WordPress 4.7.0 a 7.1.3 (actualizaciones de core con paquete completo)",[102,131,132,135],{},[117,133,134],{},"Corrección",[117,136,137],{},"7.1.4 (28-oct-2026) y versiones de mantenimiento hasta la rama 4.7",[102,139,140,143],{},[117,141,142],{},"Severidad",[117,144,145,148,149,152],{},[15,146,147],{},"Baja"," según WordPress; ",[15,150,151],{},"8.1"," (CVSS) según Wordfence",[102,154,155,158],{},[117,156,157],{},"Agregada al KEV de CISA",[117,159,160],{},"3 de noviembre de 2026",[102,162,163,166],{},[117,164,165],{},"Plazo federal",[117,167,168],{},"6 de noviembre de 2026",[102,170,171,174],{},[117,172,173],{},"Uso en ransomware",[117,175,176],{},"Desconocido (CISA)",[102,178,179,182],{},[117,180,181],{},"Descubrió",[117,183,184],{},"Umut Bayram, reportada de forma responsable",[12,186,187],{},"Las dos calificaciones no coinciden porque miden cosas distintas: WordPress pesa que la ventana es muy corta; Wordfence, que el resultado es ejecución remota sin autenticación. Con la entrada al KEV, nosotros la trataríamos como urgente.",[51,189,191],{"id":190},"la-evidencia-de-ataques","La evidencia de ataques",[12,193,194,195,198,199,202,203,206],{},"Wordfence registró más de ",[15,196,197],{},"18,500 solicitudes maliciosas"," contra rutas del instalador temporal en las ",[15,200,201],{},"primeras 21 horas"," después de liberar su regla de firewall, según Daily Security Review y el rastreador de HOL Guard. Son intentos, no sitios comprometidos confirmados: hasta donde pudimos revisar, Wordfence no ha publicado cuántos sitios fueron tomados. CISA tampoco describe víctimas concretas, pero marcó la entrada con ",[15,204,205],{},"triage forense",": no basta con parchar, hay que revisar si hubo intrusión.",[208,209],"ad-banner",{},[51,211,213],{"id":212},"cómo-actualizar-sin-abrirle-la-puerta-al-atacante","Cómo actualizar sin abrirle la puerta al atacante",[12,215,216,217,220],{},"La corrección de 7.1.4 hace aleatorio el nombre de la carpeta temporal y le agrega protección, pero ",[15,218,219],{},"la actualización que instala 7.1.4 todavía corre con el actualizador viejo",", como advierte el rastreador de HOL Guard. El orden importa:",[222,223,224,231,267,273],"ol",{},[225,226,227,230],"li",{},[15,228,229],{},"Respaldo completo"," de archivos y base de datos antes de tocar nada.",[225,232,233,238,239,255,258,259,262,263,266],{},[15,234,235,236],{},"Bloquea el acceso web a ",[67,237,69],{}," en el servidor. Según HOL Guard, los servidores que ya negaban ese acceso antes de su última actualización no eran alcanzables por la carrera. En Nginx:",[240,241,246],"pre",{"className":242,"code":243,"language":244,"meta":245,"style":245},"language-nginx shiki shiki-themes material-theme-lighter github-light github-dark","location ^~ /wp-content/upgrade/ { deny all; }\n","nginx","",[67,247,248],{"__ignoreMap":245},[249,250,253],"span",{"class":251,"line":252},"line",1,[249,254,243],{},[256,257],"br",{},"En Apache, un archivo ",[67,260,261],{},".htaccess"," dentro de esa carpeta con ",[67,264,265],{},"Require all denied",". WordPress sigue escribiendo ahí; lo que se impide es que alguien lo pida desde internet. Si tu hosting es administrado y no tienes acceso a esa configuración, pídeselo hoy a tu proveedor.",[225,268,269,272],{},[15,270,271],{},"Actualiza"," desde Escritorio > Actualizaciones a 7.1.4 o a la versión corregida de tu rama (7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11… hasta 4.7.39, según el aviso de WordPress).",[225,274,275,278,279,284],{},[15,276,277],{},"Confirma el número"," de versión al terminar. WordPress dice que los sitios con actualizaciones automáticas en segundo plano se actualizan solos, pero como te contamos con la ",[280,281,283],"a",{"href":282},"/blog/noticias/wordpress-7-1-2-cve-2026-87902-explotada","falla de septiembre que llevó a 7.1.2",", muchos hostings, temas o plugins las tienen apagadas.",[12,286,287,288,291],{},"Si tu sitio se despliega con Git, Composer o contenedores y tiene ",[67,289,290],{},"DISALLOW_FILE_MODS"," activado, el actualizador interno nunca corre y no tuvo esa ventana; aun así necesitas el código corregido en tu próximo despliegue.",[293,294,297],"callout",{"icon":295,"title":296},"i-lucide-triangle-alert","WordPress 4.6 o anterior: no hay parche",[12,298,299],{},"Los backports llegan hasta la rama 4.7. Un sitio en 4.6 o anterior no recibe corrección para esta falla. Si tu página corporativa lleva años sin tocarse, es momento de migrarla, no de parcharla.",[51,301,303],{"id":302},"si-ya-actualizaste-en-los-últimos-días","Si ya actualizaste en los últimos días",[12,305,306],{},"Que ya estés en 7.1.4 no prueba que la actualización haya sido limpia. Revisa:",[308,309,310,325,331,341],"ul",{},[225,311,312,315,316,65,319,321,322,324],{},[15,313,314],{},"Registros de acceso del servidor"," alrededor de la hora de tu última actualización del core: solicitudes a archivos ",[67,317,318],{},".php",[67,320,69],{},", sobre todo a ",[67,323,89],{},".",[225,326,327,330],{},[15,328,329],{},"Usuarios administradores"," que no reconozcas.",[225,332,333,336,337,340],{},[15,334,335],{},"Archivos PHP nuevos"," en ",[67,338,339],{},"wp-content/uploads",", plugins o temas que nadie instaló.",[225,342,343,346],{},[15,344,345],{},"Plugins"," que no reconozcas en la lista.",[12,348,349,350,353],{},"Si encuentras algo, no basta con borrar el archivo: cambia contraseñas de administradores y de la base de datos, rota las claves de ",[67,351,352],{},"wp-config.php"," y restaura desde un respaldo previo a la fecha sospechosa.",[51,355,357],{"id":356},"qué-más-corrige-714","Qué más corrige 7.1.4",[12,359,360,361,364,365,324],{},"El mismo paquete del 28 de octubre corrige varias fallas de ",[15,362,363],{},"XSS almacenado"," (Interactivity API, Customizer, bloques de categorías, listas de reproducción, imágenes y paginación de comentarios, entre otras), una de denegación de servicio y la exposición de borradores del Customizer a usuarios sin sesión. También actualiza los certificados raíz incluidos por la revocación de eMudhra. WordPress 7.2 está planeado para el ",[15,366,367],{},"8 de diciembre",[51,369,371],{"id":370},"por-qué-le-importa-a-una-pyme","Por qué le importa a una PyME",[12,373,374,375,378,379,383,384,388,389,324],{},"Muchas empresas mexicanas tienen su página, su catálogo o su tienda en WordPress y nadie asignado a mantenerla. Es otra alerta seria de WordPress en apenas dos meses, después de la ",[280,376,377],{"href":282},"falla crítica de septiembre",", la ",[280,380,382],{"href":381},"/blog/noticias/brevo-cadena-suministro-100-mil-sitios-wordpress","cadena de suministro de Brevo que sirvió malware en 100,000 sitios"," y la ",[280,385,387],{"href":386},"/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862","actualización envenenada de Rank Math SEO PRO",". Si vendes en línea, la temporada alta ya empezó: un sitio comprometido en noviembre cuesta ventas y datos de clientes. Ya lo vimos con la ",[280,390,392],{"href":391},"/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin","falla de Adobe Commerce previa al Buen Fin",[12,394,395],{},"Lo mínimo: alguien con nombre y apellido responsable de las actualizaciones, respaldo antes de cada una y un firewall de aplicación web frente al sitio.",[12,397,398],{},"Fuentes: catálogo KEV de CISA (3-nov-2026), aviso GHSA-4w3m-c66w-69mg de WordPress (29-oct-2026), anuncio de WordPress 7.1.4 (28-oct-2026), Daily Security Review (30-oct-2026) y HOL Guard (3-nov-2026).",[400,401],"call-to-action",{"description":402,"eyebrow":403,"icon":404,"label":405,"title":406,"to":407},"Revisamos tu WordPress, cerramos las rutas expuestas, buscamos señales de intrusión y dejamos un plan de actualizaciones con respaldo y firewall.","Ciberseguridad","i-lucide-shield-check","Agendar revisión","Que actualizar tu sitio no sea el momento del ataque","/contacto",[409,410,411],"style",{},"html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":245,"searchDepth":413,"depth":414,"links":415},2,3,[416,417,418,419,420,421],{"id":53,"depth":413,"text":54},{"id":190,"depth":413,"text":191},{"id":212,"depth":413,"text":213},{"id":302,"depth":413,"text":303},{"id":356,"depth":413,"text":357},{"id":370,"depth":413,"text":371},"noticias",{"title":424,"description":425,"label":426,"to":427,"icon":404},"¿Quién actualiza tu WordPress y cuándo?","Revisamos versión, registros y usuarios de tu sitio, cerramos wp-content/upgrade y te dejamos un procedimiento de actualización con respaldo previo.","Ver ciberseguridad","/servicios/ciberseguridad","2026-11-03","CISA agregó el 3 de noviembre la CVE-2026-119977 de WordPress a su lista de fallas explotadas, con plazo al 6. El ataque ocurre durante la actualización del core.",false,"md",[433,436,439,442],{"question":434,"answer":435},"¿Qué versiones de WordPress están afectadas por la CVE-2026-119977?","De la 4.7.0 a la 7.1.3, durante las actualizaciones del core con paquete completo. La corrección está en WordPress 7.1.4 (28 de octubre de 2026) y en versiones de mantenimiento para cada rama desde la 4.7, por ejemplo 7.0.8, 6.9.11, 6.8.12 o 4.7.39. Las versiones 4.6 y anteriores no reciben parche.",{"question":437,"answer":438},"Si mi sitio ya está en 7.1.4, ¿ya estoy a salvo?","De esta falla hacia adelante, sí. Pero la actualización que te llevó a 7.1.4 se ejecutó con el actualizador viejo, así que esa misma actualización fue una ventana de riesgo. Revisa los registros del servidor de ese momento y busca archivos PHP o usuarios administradores que no reconozcas.",{"question":440,"answer":441},"¿Qué tan grave es? WordPress dice que es baja.","Las fuentes no coinciden. El aviso de WordPress la califica como de severidad baja porque la ventana dura segundos; Wordfence le da 8.1 de 10 en CVSS. Lo que inclina la balanza es que CISA la agregó el 3 de noviembre a su catálogo de vulnerabilidades explotadas y pide triage forense.",{"question":443,"answer":444},"¿Cómo bloqueo la carpeta wp-content/upgrade?","Con una regla en el servidor web que niegue el acceso por web a esa ruta: en Nginx, un bloque location con deny all; en Apache, un .htaccess dentro de la carpeta con Require all denied. Si tu hosting es administrado, pídeselo al proveedor. WordPress sigue pudiendo escribir ahí; solo se impide que alguien la pida desde internet.",null,"/images/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre.jpg","Pantalla de administración de un sitio web mostrando una barra de actualización en progreso y una alerta de seguridad","informational",[450,451,452,453],"cve-2026-119977 wordpress","wordpress 7.1.4 vulnerabilidad actualizacion","wp-content/upgrade bloquear","cisa kev wordpress noviembre 2026",{},true,"/blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre","2026-11-03T17:00:00-06:00",5,{"title":5,"description":429},"WordPress CVE-2026-119977 explotada: actualiza con cuidado","blog/noticias/wordpress-cve-2026-119977-actualizacion-core-kev-6-noviembre",[463,464,465,466],"ciberseguridad","wordpress","vulnerabilidades","sitios web","aJxFC7bCIoQRlcIpeXZsls6mKJQw1bTspNVnaONkaV0",{"path":469,"title":470},"/blog/noticias/synology-nas-ransomware-c3rb3r-dsm-actualizar","Synology alerta por ransomware C3RB3R contra NAS con DSM sin actualizar: la falla se parchó en 2024 y la siguen explotando",{"path":472,"title":473},"/blog/noticias/copilot-memoria-datos-trabajo-activada-fin-noviembre","La memoria de Copilot empieza a usar tus correos, chats y documentos de trabajo: se termina de activar a fines de noviembre y viene encendida",[475,482,488],{"path":476,"title":477,"description":478,"date":479,"category":422,"image":480,"imageAlt":481,"readingTime":458},"/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina","Google desarticula XCPE, la botnet que venía de fábrica en 1.3 millones de TV box Android: revisa la de tu recepción","Google desarticuló XCPE, un backdoor de fábrica en 1.3 millones de TV box Android y pantallas. Si tienes una en la recepción o sala de espera, sácala de tu red.","2026-11-04","/images/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina.jpg","TV box Android genérica conectada a una pantalla en la sala de espera de una oficina, con un cable de red que va al mismo switch de las computadoras",{"path":483,"title":484,"description":485,"date":479,"category":422,"image":486,"imageAlt":487,"readingTime":458},"/blog/noticias/google-meet-aviso-grabacion-notas-gemini-lfpdppp","Google Meet ya puede mostrar tu aviso antes de grabar o tomar notas con Gemini: viene apagado y conviene encenderlo","Desde el 2 de noviembre Meet permite mostrar un aviso de 350 caracteres antes de grabar, transcribir o tomar notas con Gemini. Cómo activarlo y qué pide la LFPDPPP.","/images/blog/noticias/google-meet-aviso-grabacion-notas-gemini-lfpdppp.jpg","Pantalla previa de una videollamada de Google Meet con un recuadro de aviso que indica que la reunión se grabará y que Gemini tomará notas",{"path":489,"title":490,"description":491,"date":479,"category":422,"image":492,"imageAlt":493,"readingTime":458},"/blog/noticias/fortigate-60e-81e-fin-soporte-diciembre-noviembre","FortiGate 60E y 81E se quedan sin soporte: el 81E el 14 de noviembre y el 60E el 29 de diciembre","Fortinet deja sin soporte el FortiGate 81E el 14 de noviembre y el 60E el 29 de diciembre de 2026. Qué deja de llegar, qué modelos ya vencieron y cómo reemplazarlos.","/images/blog/noticias/fortigate-60e-81e-fin-soporte-diciembre-noviembre.jpg","Firewall FortiGate de escritorio en un rack de oficina con una etiqueta roja que marca su fecha de fin de soporte",{"id":495,"avatar":445,"bio":496,"entityType":497,"expertise":498,"extension":499,"meta":500,"name":6,"role":501,"slug":502,"social":445,"stem":503,"url":7,"__hash__":504},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]