CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos (CISA) in­cor­po­ró una vul­ne­ra­bi­li­dad del nú­cleo de Word­Press a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das, tras con­fir­mar su uso ac­ti­vo. Este fallo de se­gu­ri­dad, ca­ta­lo­ga­do con alta gra­ve­dad y con una pun­tua­ción CVSS de 8.1, con­sis­te en una con­di­ción de ca­rre­ra de tipo tiem­po de ve­ri­fi­ca­ción fren­te a tiem­po de uso (TOCTOU).

La falla per­mi­te que ata­can­tes sin au­ten­ti­ca­ción eje­cu­ten có­di­go de ma­ne­ra ar­bi­tra­ria en los ser­vi­do­res afec­ta­dos du­ran­te el pro­ce­so de ac­tua­li­za­ción del soft­wa­re, apro­ve­chan­do rutas de en­sa­yo pre­vi­si­bles y ac­ce­si­bles a tra­vés de la web. Los de­ta­lles sobre este pro­ble­ma se die­ron a co­no­cer pre­via­men­te tras re­por­tar­se que no se ne­ce­si­ta po­seer una cuen­ta en el sitio web para apro­ve­char­lo, re­qui­rién­do­se úni­ca­men­te ata­car el breve in­ter­va­lo tem­po­ral en el que se rea­li­za una ac­tua­li­za­ción com­ple­ta del nú­cleo.

Di­ver­sas em­pre­sas de se­gu­ri­dad re­gis­tra­ron miles de pe­ti­cio­nes e in­ten­tos de ata­que di­ri­gi­dos a las rutas de los ins­ta­la­do­res tem­po­ra­les desde que se hizo pú­bli­co el pro­ble­ma, in­clu­yen­do de­tec­cio­nes en sis­te­mas de si­mu­la­ción de ame­na­zas pro­ve­nien­tes de una di­rec­ción IP ubi­ca­da en el Reino Unido. Como con­se­cuen­cia de la con­fir­ma­ción ofi­cial por parte de CISA, las agen­cias del poder eje­cu­ti­vo civil fe­de­ral tie­nen como fecha lí­mi­te el seis de no­viem­bre de 2026 para im­ple­men­tar las co­rrec­cio­nes co­rres­pon­dien­tes.