WordPress publicó el 28 de octubre la versión 7.1.4, una actualización de seguridad que, según el recuento de Patchstack, corrige 22 fallos, y llevó los arreglos a todas las versiones que aún reciben parches, hasta la 4.7. El más grave permitía a un visitante sin cuenta ejecutar código en el servidor durante una actualización, en una ventana de pocos segundos. Los sitios con las actualizaciones automáticas activadas ya deberían tenerla; los demás deberían instalarla cuanto antes.
La versión la dirigen Aaron Jorbin y Nik Tsekouras, y llega mientras se prepara WordPress 7.2, prevista para el 8 de diciembre, cuya tercera beta ya incluye los mismos arreglos. Entre los investigadores que reportaron fallos aparece Anthropic, que encontró dos de ellos. El aviso oficial no asigna números CVE.
Claves de WordPress 7.1.4
- El fallo de la ventana de actualización. Cuando WordPress instala o actualiza algo, descomprime el paquete en la carpeta
wp-content/upgrade/. Esa carpeta tenía un nombre predecible y la limpieza borraba el archivo que impide listar su contenido, así que durante los segundos que dura una actualización un atacante podía alcanzar archivos que no debían estar a su alcance. La 7.1.4 añade caracteres aleatorios al nombre de la carpeta y restaura esa protección. Lo descubrió el investigador Umut Bayram. - Difícil de aprovechar, pero sin cuenta. La empresa de seguridad Patchstack lo considera poco práctico de explotar por lo breve de la ventana, aunque se repite con cada actualización, también con las automáticas. Es, junto con otro que deja ver cambios del Personalizador aún sin publicar, el único que no exige iniciar sesión.
- El resto necesita una cuenta. La mayoría son fallos de XSS almacenado, es decir, código JavaScript que alguien guarda en el sitio y que se ejecuta cuando otro usuario lo visita: en el marcado de los bloques, en la Interactivity API, en el Personalizador, en los bloques de categorías, listas de reproducción, imágenes y paginación de comentarios, y en los nombres de usuario. Casi todos requieren al menos una cuenta de colaborador.
- Los dos de Anthropic. Anthropic reportó un XSS almacenado en las solicitudes de borrado de datos personales y otro en los inicios de sesión, donde un nombre de usuario preparado bastaba para guardar código malicioso en el sitio.
- Más arreglos. También corrige un fallo que podía dejar el sitio sin servicio a través de la Interactivity API, otro que dejaba leer notas de una entrada a usuarios sin permiso para editarla, y actualiza los certificados raíz incluidos tras la revocación de los de eMudhra.
- Versiones viejas. Los arreglos llegan a las ramas antiguas en versiones como la 6.7.11 o la 7.0.8, aunque WordPress avisa de que algunas aún se están publicando. Los sitios con la 4.6 o anteriores no reciben ninguno.
Qué hacer en tu sitio
Lo primero es comprobar la versión en Escritorio → Actualizaciones e instalar la 7.1.4, o la última de tu rama si no puedes subir de versión. Si administras el servidor, Patchstack recomienda además bloquear el acceso web a wp-content/upgrade/: un cortafuegos instalado como plugin no protege esa carpeta, porque lo que hay dentro se carga por su cuenta. Entre actualizaciones, esa carpeta solo debería contener un index.php.
Como casi todos los demás fallos empiezan por una cuenta con permisos de colaborador, también vale la pena revisar quién tiene esas cuentas y retirar las que ya no se usan. Y si sospechas que alguien pudo aprovechar alguno, nuestra guía para saber si atacaron tu WordPress revisando los registros del servidor explica paso a paso dónde mirar.
Más fuentes: análisis de Patchstack. Lee también: lo que trae WordPress 7.2. Logotipo: WordPress.
Fuente: WordPress.org, «WordPress 7.1.4 Security Release», 28 de octubre de 2026