WordPress 7.1.4 corrige un fallo explotado: cómo actualizar tu web

WordPress se enfrenta a una vulnerabilidad de seguridad explotada activamente que puede permitir a un atacante ejecutar código malicioso en el servidor de una página web sin disponer de usuario ni contraseña. El problema afecta al núcleo del gestor de contenidos y aparece durante el proceso de actualización. La versión WordPress 7.1.4, publicada el 28 de octubre de 2026, incorpora la corrección. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) confirmó el 3 de noviembre que la vulnerabilidad, identificada como CVE-2026-119977, está siendo utilizada en ataques reales.

La medida más importante para los propietarios de páginas web es comprobar qué versión de WordPress tienen instalada y aplicar la actualización de seguridad correspondiente. La comprobación puede hacerse desde el panel de administración, en «Escritorio» y «Actualizaciones». Si aparece una versión anterior sin corregir, hay que intervenir. Sin embargo, existe una particularidad importante: el fallo también puede aprovecharse durante la actualización que instala el parche, por lo que conviene proteger previamente el directorio temporal utilizado por WordPress. No significa que todas las webs antiguas estén infectadas, pero sí que necesitan una revisión.

La alerta afecta a un sistema utilizado por millones de páginas de empresas, comercios electrónicos, medios de comunicación y blogs. Y presenta una circunstancia poco habitual: la operación destinada a mejorar la seguridad de una web puede convertirse en el momento que aproveche un atacante. No hace falta que el administrador pulse un enlace fraudulento ni que revele sus credenciales. Basta con que concurran determinadas condiciones técnicas durante unos segundos.

Por qué este fallo de WordPress resulta especialmente peligroso

La vulnerabilidad fue descubierta por el investigador de seguridad Umut Bayram, de Picus Security, y tiene una puntuación de 8,1 sobre 10 en la escala CVSS, utilizada para valorar la gravedad de los fallos informáticos.

El problema se conoce técnicamente como una condición de carrera. Aparece cuando dos operaciones coinciden en un momento determinado y el programa no controla adecuadamente cuál se ejecuta primero.

En este caso, WordPress descarga los archivos de una nueva versión y los descomprime provisionalmente en un directorio del servidor antes de sustituir los anteriores. En determinadas configuraciones, esos archivos temporales pueden quedar accesibles desde Internet mediante una ruta predecible.

Un atacante que localice ese directorio durante el breve intervalo de actualización puede manipular archivos de configuración temporales y conseguir que WordPress sustituya su configuración legítima por otra maliciosa. Esto podría permitirle iniciar una instalación controlada por él y, posteriormente, ejecutar código PHP en el servidor.

Si consigue completar el ataque, podría acceder a información sensible, modificar archivos o hacerse con el control de la instalación. El riesgo resulta especialmente relevante porque no necesita autenticarse previamente en la página afectada.

No es una operación sencilla. Requiere que se esté realizando una actualización completa del núcleo, que el servidor permita acceder a los archivos temporales y que el atacante actúe antes de que WordPress los elimine.

Pero los delincuentes no necesitan estar pendientes de una web concreta. Pueden utilizar herramientas automatizadas para comprobar repetidamente miles de direcciones y aprovechar el instante oportuno.

La empresa de seguridad Wordfence registró más de 18.500 solicitudes sospechosas dirigidas a rutas del instalador temporal durante las primeras 21 horas de vigilancia tras la publicación del parche. Son intentos de ataque, no 18.500 páginas comprometidas.

CISA ha confirmado la explotación activa de la vulnerabilidad, aunque no ha publicado una cifra de instalaciones comprometidas. La agencia estadounidense ha establecido el 6 de noviembre de 2026 como fecha límite para que los organismos federales afectados apliquen las medidas exigidas. Esa obligación administrativa se dirige a las agencias federales estadounidenses, pero la recomendación de actualizar también alcanza a empresas y particulares.

Qué versiones de WordPress están afectadas y cómo comprobarlo

El fallo afecta a numerosas versiones del núcleo de WordPress, desde la rama 4.7 hasta la 7.1.3, siempre que no se hayan instalado las correspondientes correcciones de seguridad.

La versión 7.1.4 corrige la vulnerabilidad en la rama más reciente. WordPress también ha publicado parches para ramas anteriores, de manera que no todas las instalaciones necesitan cambiar inmediatamente de versión principal para resolver este problema concreto.

Por ejemplo, las versiones 7.0.8, 6.9.11, 6.8.12 y 6.7.11 incorporan las correcciones correspondientes. También existen actualizaciones para ramas más antiguas, hasta WordPress 4.7.

Las versiones 4.6 y anteriores ya no reciben estos parches y necesitan migrar a una versión más reciente. Aunque una rama antigua haya recibido una corrección puntual, mantenerla indefinidamente tampoco garantiza que siga contando con todas las mejoras de seguridad y compatibilidad.

La comprobación es sencilla y no requiere conocimientos de programación. Accede al panel de administración de tu página, normalmente desde la dirección habitual terminada en /wp-admin. Una vez dentro, entra en Escritorio → Actualizaciones.

En esa pantalla WordPress indica si tienes instalada la versión más reciente o si existe alguna actualización pendiente. También puedes encontrar el número de versión en el apartado «De un vistazo» del escritorio.

Si aparece WordPress 7.1.4, la vulnerabilidad principal ya está corregida en esa instalación. Si utilizas una rama anterior, comprueba que tienes instalada su última revisión de seguridad.

Hay una diferencia importante entre WordPress.org y WordPress.com. Quienes utilizan WordPress en un alojamiento propio o contratado deben verificar las actualizaciones del núcleo. En cambio, WordPress.com gestiona automáticamente las actualizaciones de seguridad del programa para las páginas alojadas en su plataforma.

Tampoco hay que confundir la versión de WordPress con la de un plugin. Actualizar WooCommerce, Elementor o un complemento de seguridad no equivale a instalar el parche del núcleo.

Cómo actualizar WordPress 7.1.4 sin poner en riesgo tu web

La actualización debe realizarse cuanto antes, pero la naturaleza de esta vulnerabilidad exige una precaución adicional.

El investigador que descubrió el problema advierte de que la primera actualización desde una versión vulnerable todavía puede abrir una ventana de exposición, porque parte del proceso utiliza el código antiguo.

Por eso, antes de ejecutar la actualización, la opción más segura consiste en impedir que los visitantes externos puedan acceder mediante HTTP o HTTPS al directorio temporal /wp-content/upgrade/.

Esta protección debe aplicarse desde la configuración del servidor o mediante una regla adecuada del alojamiento. No consiste en borrar esa carpeta, cambiarle el nombre ni desactivar WordPress.

Si no tienes conocimientos técnicos, lo recomendable es pedir a tu proveedor de hosting que bloquee el acceso web a ese directorio antes de actualizar. Es una modificación que puede realizar el administrador del servidor. No conviene improvisar reglas en archivos de configuración que no se conocen.

También debe hacerse una copia de seguridad completa, incluyendo los archivos y la base de datos. Esto permite recuperar la web si aparece un problema de compatibilidad o si la actualización falla.

Actualización desde el panel de administración

Una vez aplicada la protección del directorio temporal y realizada la copia de seguridad, accede a Escritorio → Actualizaciones.

Si WordPress ofrece la versión 7.1.4 o una revisión de seguridad corregida para tu rama, pulsa «Actualizar ahora» y deja que el proceso termine sin interrumpir la operación.

Al finalizar, vuelve al apartado de actualizaciones y confirma que aparece la versión esperada. Después comprueba que funcionan la página principal, el acceso al administrador, los formularios y las funciones esenciales de la web.

En una tienda online también conviene revisar el carrito, la página de pago y la gestión de pedidos. En una publicación digital, el editor, la programación de entradas y los complementos de caché.

Si la actualización automática ya se ha ejecutado, no es necesario repetirla. Lo importante es verificar que se ha instalado una versión corregida y revisar los posibles indicios de actividad sospechosa.

Para instalaciones especialmente antiguas o con personalizaciones complejas, una actualización manual supervisada puede resultar más apropiada. En cualquier caso, dejar indefinidamente una versión vulnerable sin actualizar no es una solución.

Cómo saber si tu WordPress ha sufrido un ataque

Tener una versión vulnerable no significa que la página haya sido atacada con éxito. Tampoco basta con instalar WordPress 7.1.4 para demostrar que nadie pudo acceder antes. Es importante distinguir entre estar expuesto, recibir intentos de ataque y sufrir una intrusión.

Los administradores pueden comenzar revisando el apartado Usuarios del panel. La aparición de cuentas desconocidas, especialmente con permisos de administrador, merece una investigación inmediata.

También conviene comprobar si se han instalado plugins sin autorización, si existen modificaciones inexplicables en los archivos del servidor o si se han producido cambios inesperados en la configuración de la web.

Una revisión más técnica permite buscar en los registros del servidor solicitudes dirigidas a archivos PHP dentro de /wp-content/upgrade/, especialmente al instalador temporal de WordPress.

Estas peticiones pueden revelar intentos de explotación. Una respuesta satisfactoria del servidor o un acceso extraño justifican una investigación, aunque no constituyen por sí solos una prueba de que el ataque haya tenido éxito.

También merece atención el archivo wp-config.php, que contiene información esencial sobre la configuración de WordPress. Cualquier modificación no autorizada debe examinarse con especial cuidado, ya que precisamente este archivo puede verse afectado por el mecanismo de ataque.

Si aparecen indicios de intrusión, el propietario debe contactar con su proveedor de alojamiento o un especialista en seguridad, conservar los registros disponibles y comprobar la integridad de los archivos y la base de datos.

Cuando se confirma una intrusión, puede ser necesario eliminar los archivos maliciosos, revisar las cuentas creadas, cambiar las contraseñas y renovar las claves de seguridad de WordPress. Una copia de seguridad anterior al ataque puede ayudar a recuperar una instalación limpia, siempre después de comprobarla.

WordPress 7.1.4 también corrige otros problemas de seguridad

La vulnerabilidad CVE-2026-119977 concentra la atención porque se ha confirmado su explotación, pero no es el único problema solucionado en esta actualización.

WordPress 7.1.4 incorpora correcciones relacionadas con 22 vulnerabilidades, aunque no todas afectan por igual a las diferentes versiones del programa.

Entre ellas figuran varios problemas de cross-site scripting (XSS), una técnica que puede permitir introducir código malicioso en determinados contenidos o interfaces y ejecutarlo posteriormente en el navegador de otros usuarios.

También se han corregido problemas relacionados con la API de interactividad, la divulgación de cambios del personalizador que todavía no se habían publicado y determinadas comprobaciones de permisos.

Algunas de estas vulnerabilidades requieren que el atacante disponga previamente de una cuenta con ciertos privilegios. Otras pueden afectar a visitantes sin autenticar. Por eso no deben interpretarse como 22 métodos equivalentes para tomar el control de cualquier web.

La actualización incluye igualmente cambios en los certificados raíz integrados en WordPress, relacionados con la revocación de certificados de eMudhra.

Todos estos ajustes explican por qué instalar los parches de seguridad es importante incluso cuando una página funciona aparentemente con normalidad.

La seguridad de WordPress después de instalar el parche

La versión 7.1.4 resuelve un problema especialmente delicado en el mecanismo de actualización, pero no convierte una instalación en invulnerable. El núcleo de WordPress es solo una parte de la infraestructura que mantiene una página en funcionamiento.

Los plugins, los temas, la versión de PHP, los permisos del servidor y la seguridad de las cuentas de administración siguen siendo elementos que necesitan atención.

Mantener copias de seguridad verificadas, utilizar contraseñas robustas, activar la autenticación en dos pasos y evitar complementos abandonados reduce la exposición a futuros incidentes.

También resulta recomendable mantener activo un sistema de actualización automática de seguridad, sin renunciar a comprobar periódicamente que las instalaciones se han completado correctamente.

La situación es especialmente importante para webs corporativas, tiendas y medios digitales que dependen de su disponibilidad diaria. Una intrusión puede provocar desde interrupciones del servicio hasta modificaciones de contenido o exposición de datos.

El aviso de noviembre de 2026 deja una advertencia bastante concreta: no basta con tener WordPress instalado y funcionando; también importa cómo se mantiene actualizado.

Para cualquier propietario de una web, la prioridad inmediata es comprobar la versión, proteger el proceso de actualización si todavía utiliza una edición vulnerable e instalar el parche correspondiente. Después, verificar que no existen señales de una intrusión anterior. Son medidas distintas y las tres importan.