WordPress ha publicado la 7.1.4 para corregir un fallo en las actualizaciones del núcleo que permite a un atacante sin cuenta ejecutar código en el servidor. Afecta a las versiones 4.7 a 7.1.3 y ya hay intentos masivos de explotación. Si tu web usa WordPress, comprueba hoy la versión y actualiza a la 7.1.4 o a la de tu rama.
Lo esencial
- El fallo afecta al núcleo de WordPress de la 4.7 a la 7.1.3 y tiene una puntuación CVSS de 8,1. Los parches salieron el 28 de octubre de 2026 y se han portado a todas las ramas hasta la 4.7, según SecurityWeek.
- Al cierre de las fuentes no tenía CVE asignado.
- Wordfence afirma haber bloqueado 62.969 ataques contra este fallo en 24 horas, recoge The Hacker News.
- Defiant clasifica la complejidad del ataque como alta: hay que acertar una ventana que en laboratorio dura solo segundos.
- La 7.1.4 corrige 22 fallos de seguridad en total, entre ellos varios XSS y una divulgación de información sin autenticación.
¿Cómo funciona el ataque?
Cuando WordPress hace una actualización completa del núcleo, las versiones afectadas descomprimen los archivos en un directorio predecible bajo wp-content/upgrade. Esa copia incluye el instalador de WordPress.
Si ese directorio es accesible por web, un atacante sin autenticar puede pedir el instalador justo en el momento en que se está descomprimiendo y llegar a ejecutar código PHP en tu servidor. Es una condición de carrera: el atacante gana si llega antes de que la actualización termine.
La ventana es corta, pero los atacantes la compensan con volumen. Según The Hacker News, dos de las mayores fuentes de ataque sondearon grupos pequeños de sitios durante unas 14,5 horas y consultan una y otra vez rutas como setup-config.php. Empezaron a hacerlo a las pocas horas de publicarse el parche.
¿Me afecta si la web me la lleva una agencia o el hosting?
Sí, si la web corre sobre cualquier versión entre la 4.7 y la 7.1.3, que es casi cualquier WordPress sin actualizar. Que otro la gestione no cambia el riesgo; solo cambia quién tiene que pulsar el botón.
Si tienes las actualizaciones automáticas activadas, es probable que ya estés en la versión corregida, pero compruébalo. Si las desactivaste (algo frecuente para evitar que un plugin se rompa), sigues expuesto hasta que alguien actualice a mano.
La 7.1.4 trae además otros cambios: corrige más fallos de seguridad y actualiza los certificados raíz incluidos tras la revocación reciente de eMudhra. Es una actualización que merece la pena por sí sola.
Qué hacer hoy
- Entra en el panel de WordPress y comprueba qué versión tienes.
- Actualiza a la 7.1.4 o a la versión con el parche de tu rama si usas una anterior.
- Si no tienes acceso o las actualizaciones automáticas están desactivadas, pídeselo hoy a tu agencia o proveedor de hosting y pide confirmación por escrito de la versión final.
- Pídeles que revisen los registros del servidor en busca de peticiones sospechosas a archivos PHP dentro de wp-content/upgrade.
- Revisa la lista de usuarios administradores, plugins y archivos PHP. Cualquier cosa que no reconozcas es un indicio de compromiso.
- Hasta estar en la versión corregida, no lances actualizaciones completas del núcleo que no sean la del parche.
- Si se confirma un compromiso y la web guarda datos de clientes, recuerda que el RGPD te da 72 horas para notificarlo a la AEPD.
Qué significa para una pyme
Que la complejidad del ataque sea alta no te da tranquilidad. Los atacantes no necesitan acertar en tu web: les basta con probar en miles y acertar en unas pocas. Casi 63.000 intentos en un día dicen exactamente eso.
El riesgo real para una pyme no está en la web principal que alguien revisa cada semana. Está en la landing de una campaña antigua, el blog que nadie toca o la tienda que montó una agencia con la que ya no trabajas. Esas webs suelen tener las actualizaciones desactivadas y nadie mira sus registros.
Nuestra postura: deja las actualizaciones automáticas del núcleo activadas salvo que tengas un motivo de peso y alguien con nombre y apellidos que actualice a mano en horas, no en semanas. Y haz inventario de todas las webs WordPress que lleven tu marca. Si no sabes cuántas tienes, ese es el primer problema que resolver.
Si quieres ayuda para revisar tu exposición, lo cubrimos en nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Tiene CVE este fallo?
No. Al cierre de las fuentes no tenía CVE asignado, pero sí una puntuación CVSS de 8,1 y parche disponible desde el 28 de octubre de 2026.
Uso una versión antigua de WordPress, ¿tengo que saltar a la 7.1.4?
No necesariamente. Los arreglos se han portado a las ramas anteriores hasta la 4.7. Basta con actualizar a la última versión de tu rama.
¿Cómo sé si ya me han atacado?
Busca peticiones sospechosas a archivos PHP de wp-content/upgrade en los registros del servidor, y administradores, plugins o archivos PHP que no reconozcas.
