Publicada el 28 de octubre de 2026, la versión 7.1.4 de WordPress corrige una debilidad del mecanismo de actualización que, bajo ciertas condiciones, podía derivar en ejecución remota de código durante la propia ventana de actualización. La versión también corrige una decena de fallos de secuencias de comandos entre sitios (XSS) almacenadas, repartidas entre el editor de bloques, la API de interactividad y el Personalizador. El equipo de seguridad recomienda actualizar los sitios afectados de inmediato.
Un fallo crítico en el mecanismo de actualización
El parche más sensible afecta al proceso que descarga e instala las actualizaciones del núcleo, los temas y los plugins. Señalada por el investigador Umut Bayram, la debilidad podía, bajo condiciones precisas del lado del servidor, permitir la ejecución de código arbitrario mientras WordPress se actualiza a sí mismo. Este tipo de vulnerabilidad es especialmente delicado: afecta al mecanismo mismo que debería proteger a los sitios frente a fallos conocidos.
El parche refuerza la validación de los paquetes descargados antes de extraerlos y aplicarlos, sin cambios visibles para los administradores.
Una serie de XSS almacenados en el editor de bloques
La mayoría de los demás parches corrige fallos de XSS almacenado, en los que el código malicioso insertado una sola vez permanece activo para todos los visitantes que consultan la página afectada. Afectan a:
- el renderizado de bloques manipulados a medida (Rafie Muhammad);
- las solicitudes de eliminación de datos personales, un vector señalado por Anthropic;
- varios puntos de la API de interactividad, incluido un caso de denegación de servicio almacenada detectado por Jon Surrell;
- la actualización selectiva del Personalizador (Rafie Muhammad);
- el bloque Categorías (Ben Bidner);
- los nombres de usuario de inicio de sesión manipulados a medida, otro vector señalado por Anthropic;
- los bloques Playlist e Imagen (Ben Bidner);
- los bloques de paginación de comentarios (Alex Concha).
Dos correcciones adicionales cierran la posibilidad de que un visitante no autenticado descubra changesets del Personalizador sin publicar (Antonio Lorensius Silaban), y un fallo de control de acceso que permitía a usuarios con privilegios leer ciertas notas sin tener permiso de edición sobre el artículo asociado (Ramon).
| Componente | Tipo de fallo | Reportado por |
|---|---|---|
| Proceso de actualización | RCE potencial | Umut Bayram |
| Editor de bloques | XSS almacenado | Rafie Muhammad |
| Eliminación de datos personales | XSS almacenado | Anthropic |
| API de interactividad | XSS almacenado + denegación de servicio | Varios investigadores, Jon Surrell |
| Personalizador (actualización selectiva) | XSS almacenado | Rafie Muhammad |
| Bloque Categorías | XSS almacenado | Ben Bidner |
| Nombres de usuario de inicio de sesión | XSS almacenado | Anthropic |
| Bloques Playlist / Imagen | XSS almacenado | Ben Bidner |
| Paginación de comentarios | XSS almacenado | Alex Concha |
| Changesets del Personalizador | Fuga de información | Antonio Lorensius Silaban |
| Notas de artículos | Control de acceso | Ramon |
Actualizar desde la línea de comandos
En un hosting autogestionado, actualizar mediante WP-CLI sigue siendo la forma más fiable de verificar la versión instalada antes y después de la operación:
wp core check-update
wp core update
wp core version --extra
En hostings gestionados sin acceso SSH, el aviso de actualización en un clic del panel de administración activa el mismo proceso ya corregido.
Un fallo en el proceso de actualización afecta al propio mecanismo de defensa, no solo a la superficie que protege.
Certificados raíz y calendario de la 7.2
La 7.1.4 incorpora además una actualización de los certificados raíz incluidos, en respuesta a la revocación del certificado de eMudhra. Los parches de seguridad se están retroportando a todas las ramas elegibles, hasta la 4.7, a medida que están listos. La próxima versión mayor, WordPress 7.2, sigue prevista para el 8 de diciembre de 2026; su beta 3 ya incorpora las correcciones de esta publicación.
Lo que hay que recordar
WordPress 7.1.4 corrige once fallos de XSS almacenado y una debilidad más infrecuente, alojada en el propio proceso de actualización. No se ha publicado ningún CVE por el momento en la página oficial, pero la recomendación de actualizar de inmediato no deja margen para esperar. Recuerda, como el fallo crítico de RCE corregido de urgencia en PHP el mes anterior, que los parches que afectan al núcleo mismo de una plataforma merecen un tratamiento prioritario.
En la decena de sitios de clientes que mantengo, las actualizaciones de seguridad se ejecutan en automático y las actualizaciones de versión mayor se quedan en manual: esa separación es precisamente lo que evita el escenario inverso, aquel en el que un fallo en el propio mecanismo de actualización se convierte en la puerta de entrada. Este parche confirma que esa separación sigue siendo la disciplina correcta. — Simon Janvier
Para saber más: el detalle completo de las correcciones está disponible en el anuncio oficial de WordPress 7.1.4.
