En síntesis: WordPress publicó la versión 7.1.4 con 22 correcciones de seguridad. Una de ellas permite tomar el control de un sitio justo mientras se actualiza, sin usuario ni contraseña, y ya hay intentos de ataque. Si tu web está hecha en WordPress, revisá hoy que esté actualizada.
El 28 de octubre WordPress lanzó la versión 7.1.4, una actualización de seguridad que según Patchstack corrige 22 vulnerabilidades. También salieron versiones corregidas para las ramas anteriores, desde la 7.0.8 y la 6.9.11 hasta la 4.7.39. Los sitios que todavía usan WordPress 4.6 o anterior no reciben ningún arreglo.
Qué tiene de raro esta falla
La más comentada es la CVE-2026-119977. Cuando WordPress se actualiza, descomprime los archivos nuevos en una carpeta temporal dentro de wp-content/upgrade/. Esa ruta es predecible y, si el servidor la deja accesible desde internet, un atacante puede ejecutar código en esos pocos segundos que dura la actualización. No necesita estar registrado en el sitio.
Es difícil de aprovechar porque hay que acertar justo ese momento, y por eso las calificaciones de gravedad no coinciden: el aviso oficial de WordPress la marca como baja y Wordfence le puso 8,1 sobre 10. Pero los atacantes no se quedaron mirando. Wordfence informó que detectó intentos a las pocas horas de publicarse el parche y más de 18.500 pedidos contra esas carpetas en menos de un día, con equipos que consultaban los mismos sitios durante horas esperando que se abriera la ventana. Hasta ahora no se informaron sitios comprometidos.
Por qué le importa a una pyme
Muchas empresas tienen su web o su tienda online en WordPress y nadie la mira desde que se hizo. Un sitio tomado puede usarse para robar datos de clientes, mandar correos falsos con tu dominio o mostrar avisos de estafas, y además Google lo puede marcar como peligroso. La buena noticia es que el arreglo es simple: actualizar y, si se puede, bloquear el acceso público a esa carpeta temporal desde el servidor. Patchstack aclara que un firewall que funciona como plugin de WordPress no alcanza para frenar esta falla, porque la copia temporal no lo carga; la protección tiene que estar en el servidor.
Qué significa para tu empresa
- Entrá al panel de tu WordPress (Escritorio, Actualizaciones) y confirmá que tenés la 7.1.4 o la versión corregida de tu rama.
- Si tu sitio usa WordPress 4.6 o anterior, ya no recibe parches: planificá la migración cuanto antes.
- Pedile a tu proveedor de hosting o a quien mantiene la web que bloquee el acceso público a
wp-content/upgrade/en el servidor. - Revisá que no haya usuarios administradores, plugins o archivos PHP que no reconozcas.
- Dejá activadas las actualizaciones automáticas de seguridad y tené un backup reciente antes de actualizar.
Fuentes: Patchstack: WordPress 7.1.4 Security Release · webhosting.today: intentos de ataque contra la falla de actualización (datos de Wordfence)
