Cómo auditar y mitigar CVE-2026-119977 en WordPress (RCE sin autenticación en wp-content/upgrade) con un Prompt de IA, ModSecurity, Nginx o .htaccess

Cada vez que WordPress ejecuta una actualización completa del núcleo (Core Upgrade, ya sea manual desde el escritorio o mediante actualizaciones automáticas en segundo plano), realiza el proceso de desempaquetado dentro del directorio público wp-content/upgrade/.

Anatomía del ataque paso a paso (CWE-367)

1. Extracción en un directorio web predecible: Al descargar el paquete oficial de actualización, WordPress descomprime el árbol completo (incluyendo scripts de instalación y configuración de base de datos de wp-admin/) dentro de una subcarpeta predecible bajo /wp-content/upgrade/.
2. La ventana de condición de carrera (TOCTOU): Entre el instante en que los archivos PHP del paquete se extraen en el disco y el instante en que WordPress verifica, copia los archivos al directorio raíz y elimina la carpeta temporal, existe una ventana de tiempo (Time-of-Check to Time-of-Use) en la que esos scripts quedan expuestos directamente por HTTP sin el contexto completo de bloqueo de wp-config.php.
3. El riesgo agravado por actualizaciones interrumpidas: Si una actualización anterior falló por falta de espacio en disco, timeout de PHP o corte de permisos, la subcarpeta descomprimida suele quedar huérfana de forma permanente dentro de /wp-content/upgrade/, convirtiendo una ventana de pocos segundos en una puerta abierta las 24 horas.
4. Explotación remota sin autenticación: Botnets automatizadas escanean masivamente rutas dentro de /wp-content/upgrade/ buscando alcanzar los instaladores en tránsito para inyectar una configuración maliciosa o ejecutar código PHP arbitrario (RCE) con los permisos del usuario web.

Versiones de WordPress afectadas y ramas oficiales parcheadas

Si tenés una Cloud VPS Autoadministrada con acceso SSH root y usás un agente de IA en terminal —como Antigravity CLI (agy), MIA 24/7 con Gemini, Claude Code o Cursor—, copiá y pegale este prompt para que audite tus logs, elimine carpetas temporales huérfanas, bloquee /wp-content/upgrade/ a nivel servidor web y actualice tus sitios:

Necesitamos auditar y mitigar **CVE-2026-119977** (CVSS 8.1, CISA KEV, RCE sin autenticación por condición de carrera TOCTOU en `/wp-content/upgrade/` de WordPress Core 4.7.0 a 7.1.3):

1. **Paso 1 (Auditoría de instancias, carpetas huérfanas y logs):**
   - Localizar todas las instalaciones de WordPress del servidor (`wp-includes/version.php`) y listar su ruta y versión actual (`$wp_version`).
   - Revisar si existen subdirectorios o archivos huérfanos dentro de `wp-content/upgrade/` en cada sitio y limpiarlos (dejando la carpeta `wp-content/upgrade/` vacía con sus permisos originales).
   - Buscar en los logs de acceso de Apache/Nginx (`/var/log/apache2/`, `/var/log/httpd/`, `/var/log/nginx/`) si hubo peticiones HTTP dirigidas a `wp-content/upgrade` y reportar cualquier IP sospechosa.
2. **Paso 2 (Bloqueo HTTP en caliente de `/wp-content/upgrade/`):**
   - En cada WordPress, crear o reforzar `wp-content/upgrade/.htaccess` (o la regla equivalente) para denegar todo acceso HTTP directo (`Require all denied` / `Deny from all`) y deshabilitar la ejecución de PHP en ese directorio.
   - A nivel global del servidor web (Apache / ModSecurity o Nginx), agregar una regla que devuelva `403 Forbidden` ante cualquier URI que coincida con `(?i)/wp-content/upgrade(?:/|$)`, validar la sintaxis (`apachectl configtest` o `nginx -t`) y recargar el servicio en caliente sin cortar conexiones (`graceful` / `reload`).
3. **Paso 3 (Actualización de seguridad de WordPress Core):**
   - Actualizar cada instalación vulnerable a su versión parcheada (`>= 7.1.4`, `>= 7.0.8`, `>= 6.9.11`, `>= 6.8.12`, `>= 6.7.11`) usando `wp core update --minor` (respetando el usuario propietario de cada sitio para no alterar permisos) y mostrar el resumen final de versiones y respuesta HTTP `403` al probar `/wp-content/upgrade/`.

¿Cómo ejecutarlo en 1 sola línea por SSH con Antigravity CLI (agy)?

agy --dangerously-skip-permissions -p 'Necesitamos auditar y mitigar CVE-2026-119977 (CVSS 8.1, RCE TOCTOU en /wp-content/upgrade/ de WordPress Core 4.7 a 7.1.3). 1) Localizar todos los WordPress (wp-includes/version.php), reportar su versión, limpiar subcarpetas huérfanas dentro de wp-content/upgrade/ y auditar los logs web buscando peticiones a wp-content/upgrade. 2) Bloquear el acceso HTTP directo a /wp-content/upgrade/ (403 Forbidden) tanto globalmente en Apache/ModSecurity o Nginx como en wp-content/upgrade/.htaccess, verificando configtest antes de hacer reload. 3) Actualizar el core con wp core update --minor respetando el usuario propietario de cada sitio y verificar el estado final.'

Opción A: Proteger un sitio WordPress individual mediante .htaccess (FTP o Administrador de Archivos)

Si querés agregar una capa adicional en tu propio sitio WordPress sin usar SSH, podés incluir este bloque al principio del archivo .htaccess en la raíz de tu web (/www/.htaccess o public_html/.htaccess):

# Mitigación CVE-2026-119977: Bloquear todo acceso HTTP a /wp-content/upgrade/
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule ^wp-content/upgrade(/|$) - [F,L,NC]
</IfModule>

Opción B: Regla global de Tolerancia Cero en Apache + ModSecurity (WAF)

Si administrás un servidor Apache con ModSecurity para múltiples sitios, esta regla en Fase 1 bloquea en el acto con 403 Forbidden cualquier petición hacia /wp-content/upgrade/ (incluso si el atacante intenta evadirla con codificación URL o barras repetidas //):

# Mitigación CVE-2026-119977: Bloqueo de acceso HTTP a /wp-content/upgrade/
SecRule REQUEST_URI|REQUEST_FILENAME "@rx (?:/|^)wp-content/upgrade(?:/|$)" \
    "id:10018,phase:1,deny,status:403,log,t:none,t:urlDecodeUni,t:normalizePath,t:lowercase,\
     msg:'Ataque mitigado: Intento de exploit WordPress Core Upgrade TOCTOU CVE-2026-119977'"

Opción C: Bloqueo en servidores con Nginx

Si tu Cloud VPS corre Nginx (como servidor principal o proxy inverso), agregá esta directiva dentro de tu bloque server {} y ejecutá nginx -t && systemctl reload nginx:

# Mitigación CVE-2026-119977 en Nginx
location ~* /wp-content/upgrade(/|$) {
    deny all;
    return 403;
}