Para quién es esto: para quienes gestionan sitios WordPress (servidor propio, VPS, hosting compartido, hosting WordPress gestionado) y para quienes dejan las actualizaciones del sitio en manos de una agencia o un proveedor. Este artículo se basa en el anuncio y el aviso del proyecto WordPress, el registro del CVE y la cobertura de prensa. No explica pasos de ataque.
En desarrollo: esta página se actualizará conforme se publique más información
- A quién afecta
para quienes gestionan sitios WordPress (servidor propio, VPS, hosting compartido, hosting WordPress gestionado) y para quienes dejan las actualizaciones del sitio en manos de una agencia o un proveedor.
- Confirmado hasta ahoraVer la tabla ↓
- El fallo
- Versiones afectadas
- Versiones corregidas
2 más
- Gravedad
- Número CVE
- Aún sin confirmar
- Si CISA añade el CVE al catálogo Known Exploited Vulnerabilities (el 2 de noviembre no figuraba)
- Cualquier explotación o compromiso confirmado (el proveedor de seguridad no ha informado de ninguno)
- La evaluación propia de NVD (estado: Received)
1 más
- Cuándo anunciará el proyecto las versiones corregidas de las ramas más antiguas (el anuncio dice que se publicarán cuando estén listas)
- Qué hacer ahoraVer los pasos ↓
- Compruebe su versión de WordPress
- Compruebe que las actualizaciones automáticas funcionan
- Haga una copia de seguridad y actualice manualmente
3 más
- Compruebe después la versión y el sitio
- Si otra persona gestiona el sitio, pregúntele
- Si actualizó tarde, revise la actividad desde el 28 de octubre
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Proyecto WordPress, «WordPress 7.1.4 Security Release» (28 de octubre de 2026)
- Última comprobación
- A fecha de 2 de noviembre de 2026 (JST)
Próximos avisos y qué comprobamos
El anuncio de WordPress sobre la versión de seguridad 7.1.4 dice que se recomienda actualizar de inmediato y que los sitios con actualizaciones automáticas en segundo plano empezarán a actualizarse solos. El CVE se publicó el 31 de octubre. La prensa informa de peticiones dirigidas al fallo, pero de ningún compromiso exitoso.
Qué hacer hoy
Compruebe su versión de WordPress
Abra Escritorio > Actualizaciones en la pantalla de administración para ver su versión actual y si se ofrece una más reciente. Si no puede iniciar sesión, o gestiona varios sitios, wp core version funciona en el servidor si WP-CLI está instalado. Las versiones corregidas son 7.1.4 (rama 7.1), 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14 y 6.4.14. El aviso también lista correcciones para ramas más antiguas (vea la tabla de abajo).
Compruebe que las actualizaciones automáticas funcionan
De forma predeterminada, WordPress aplica por sí mismo las actualizaciones menores, como las correcciones de seguridad. Pueden desactivarse mediante un ajuste del archivo de configuración, un plugin, la configuración de su hosting o los permisos de archivos. Abra Herramientas > Salud del sitio en la pantalla de administración y busque problemas con las actualizaciones en segundo plano. Si no sabe por qué están desactivadas, actualice a mano esta vez.
Haga una copia de seguridad y actualice manualmente
Haga una copia de seguridad de los archivos y de la base de datos fuera del servidor (fundamentos de copias de seguridad y recuperación). Después pulse Actualizar ahora en la pantalla Actualizaciones. No cierre el navegador ni inicie otras actualizaciones mientras se ejecuta.
Compruebe después la versión y el sitio
Confirme que la pantalla Actualizaciones muestra la última versión y que la página de inicio, el inicio de sesión y los formularios de contacto funcionan. 7.1.4 también contiene varias correcciones de XSS almacenado, así que esté atento a los avisos de sus plugins y de su tema.
Si otra persona gestiona el sitio, pregúntele
En los sitios gestionados por una agencia, un socio, un hosting compartido o un hosting gestionado, pregunte hoy quién actualiza el núcleo de WordPress y cuándo. Compruebe usted mismo la versión en la pantalla de administración.
Si actualizó tarde, revise la actividad desde el 28 de octubre
Busque desde el 28 de octubre peticiones que no reconozca, archivos que usted no puso y cuentas de administrador que usted no añadió. Cómo comprobarlo se explica en cómo comprobar si su sitio web o servidor ha sido comprometido.
Actualizaciones automáticas activadas
Empiezan solas (según el anuncio). Confirme en la pantalla Actualizaciones que se realizó
Actualizaciones automáticas desactivadas o con fallos
Actualiza usted. Copia de seguridad, actualización y pruebas
Lo gestiona una agencia o el proveedor
Pregunte quién actualiza y cuándo, y compruebe usted mismo la versión
Qué dicen el anuncio y el aviso
El proyecto WordPress publicó «WordPress 7.1.4 Security Release» en wordpress.org el 28 de octubre de 2026, con una lista de correcciones. La explicación de este fallo está en el aviso de seguridad de GitHub publicado el 29 de octubre.
- Versión
- WordPress 7.1.4 se publicó el 28 de octubre de 2026. El anuncio dice que se recomienda actualizar los sitios de inmediato
- El fallo (aviso)
- Durante una actualización del núcleo con un paquete completo, WordPress extraía los archivos nuevos en un directorio predecible dentro de la carpeta de actualización accesible desde la web. Un atacante sin autenticar que gane una carrera contra esa extracción podría lograr la ejecución remota de código (RCE)
- Redacción del anuncio
- Figura como una debilidad en el proceso de actualización que puede llevar a la ejecución remota de código durante la ventana de actualización. La página del anuncio no da gravedad, número CVE ni lista de versiones afectadas
- Corrección
- Corregido en 7.1.4. Según el aviso, como cortesía hacia los usuarios de ramas antiguas, la corrección se ha retroportado a todas las ramas hasta la 4.7. El anuncio dice que los retroportes se publicarán cuando estén listos
- Gravedad (WordPress)
- El aviso la califica como baja y no da puntuación
- Actualizaciones automáticas
- El anuncio dice que, en los sitios con actualizaciones automáticas en segundo plano, el proceso de actualización comenzará automáticamente
- Soporte
- El anuncio dice que solo la versión más reciente de WordPress recibe soporte activo
- Otras correcciones de la versión
- Varios problemas de XSS almacenado y conjuntos de cambios del Personalizador sin publicar que usuarios sin autenticar podían descubrir, entre otros (la lista del anuncio)
- CVE
- CVE-2026-119977, publicado por el proveedor de seguridad Wordfence actuando como CNA. El estado en NVD es Received (recibido) y NVD no ha añadido su propia evaluación
- Descripción
- Núcleo de WordPress 4.7 a 7.1.3: las rutas de preparación predecibles y accesibles desde la web que se usan durante las actualizaciones del núcleo con paquete completo permiten a atacantes sin autenticar ejecutar código en el servidor durante la ventana de actualización
- Gravedad (CVE)
- CVSS v3.1 8,1 (alta): red, sin privilegios, sin interacción del usuario, complejidad de ataque alta. Tipo de debilidad CWE-367 (condición de carrera entre comprobación y uso, TOCTOU)
- Discrepancia
- El aviso de WordPress dice baja y el registro del CVE dice alta. Proceden de evaluadores distintos, así que ninguno se equivoca sin más. La opinión de este sitio es que, con una corrección disponible, actualizar es la prioridad correcta incluso para un fallo difícil de explotar
Versiones corregidas (según el aviso)
| Rama | Afectadas | Corregida |
|---|---|---|
| 7.1 | 7.1.0 a 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 a 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 a 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 a 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 a 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 a 6.6.10 | 6.6.11 |
| 6.5 | 6.5.0 a 6.5.13 | 6.5.14 |
| 6.4 | 6.4.0 a 6.4.13 | 6.4.14 |
| 6.3 | 6.3.0 a 6.3.13 | 6.3.14 |
| 6.2 | 6.2.0 a 6.2.14 | 6.2.15 |
| 6.1 | 6.1.0 a 6.1.15 | 6.1.16 |
| 6.0 | 6.0.0 a 6.0.17 | 6.0.18 |
| 5.9 a 5.0 | hasta la última versión de cada rama | 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31 |
| 4.9 a 4.7 | hasta la última versión de cada rama | 4.9.35, 4.8.34, 4.7.39 |
El aviso no indica ninguna corrección para 4.6 y anteriores. Las ramas antiguas no siempre se actualizan solas, así que, si aún usa una, actualice a mano o planifique el paso a una versión con soporte.
Explotación (según informes de prensa)
Esto procede del informe de un proveedor de seguridad, recogido por la prensa. El anuncio del proyecto WordPress no dice nada sobre explotación.
- Quién lo observó
- Un proveedor de seguridad para WordPress. Según SecurityWeek (30 de octubre), el proveedor dijo que la explotación comenzó a las pocas horas de publicarse los parches
- Cifras
- La primera coincidencia de la nueva regla de firewall del proveedor llegó nueve minutos después de desplegarla y, en las primeras 21 horas, registró más de 18.500 peticiones dirigidas a ubicaciones temporales de actualización
- Compromiso exitoso
- El proveedor no ha informado de ninguno
- Qué necesita un ataque (prensa)
- Una ventana muy estrecha mientras WordPress descomprime una actualización completa del núcleo. Según el informe, los atacantes sondean repetidamente las rutas vulnerables para aprovecharla
- KEV
- Cuando este sitio comprobó el catálogo KEV de CISA el 2 de noviembre de 2026 (catálogo actualizado por última vez el 30 de octubre), CVE-2026-119977 no figuraba
La opinión de este sitio: no estar en KEV no significa estar a salvo. Lo observado es un recuento de peticiones que parecen sondeos, sin ningún compromiso exitoso notificado, pero la corrección tiene solo unos días y el panorama puede cambiar. Los sitios con las actualizaciones automáticas desactivadas son los más propensos a quedarse atrás.
Qué se sabe y qué no
| Elemento | Qué se ha publicado | Estado |
|---|---|---|
| El fallo | Una condición de carrera durante una actualización del núcleo con paquete completo que puede llevar a RCE sin autenticación; corregido en 7.1.4 (aviso de WordPress) | Confirmado (WordPress) |
| Versiones afectadas | 4.7 a 7.1.3 (registro del CVE, aviso) | Confirmado (WordPress, registro del CVE) |
| Versiones corregidas | 7.1.4 y correcciones para todas las ramas hasta la 4.7 (aviso) | Confirmado (WordPress) |
| Gravedad | WordPress: baja (sin puntuación). Registro del CVE: CVSS v3.1 8,1 (alta), complejidad de ataque alta | Confirmado (difiere según el evaluador) |
| Número CVE | CVE-2026-119977, publicado el 31 de octubre; no figura en el anuncio de WordPress | Confirmado (registro del CVE) |
| Peticiones dirigidas al fallo | Más de 18.500 en las primeras 21 horas (proveedor de seguridad, prensa) | Informado (proveedor de seguridad) |
| Compromiso exitoso | El proveedor no ha informado de ninguno | Ninguno notificado |
| KEV de CISA | No figuraba a fecha del 2 de noviembre | No figura |
| Evaluación propia de NVD | Aún no añadida (estado: Received) | NVD aún no la ha puntuado |
¿Puede esperar la actualización?
Según el aviso, el problema ocurre durante una actualización del núcleo con paquete completo. Ninguna fuente oficial dice más sobre las condiciones, ni si un sitio que no se ha actualizado está siendo atacado constantemente. Este sitio no rellena ese vacío con conjeturas: existe una corrección, así que confirme cuanto antes que su versión es una versión corregida.
Si usa hosting compartido o hosting WordPress gestionado
Algunos planes actualizan el núcleo de WordPress por usted y otros lo dejan en sus manos. Depende de su plan y su contrato, así que compruebe su versión en la pantalla de administración y lea el aviso de su proveedor.
Lo que puede hacer el proveedor (según su plan)
- Ofrecer actualizaciones automáticas o una herramienta de actualización con un clic para el núcleo
- Publicar un aviso sobre su respuesta cuando proceda
Lo que hace usted
- Compruebe en la pantalla Actualizaciones que su versión es una versión corregida
- Compruebe que las actualizaciones automáticas no se han desactivado y, si lo están, actualice a mano
- Lea los avisos del proveedor en su sitio web oficial, no a través de enlaces de correo
- Mantenga también al día los plugins y los temas
Su sitio puede quedar brevemente no disponible durante una actualización. En algunos servidores la actualización falla por los permisos de archivos o por falta de espacio en disco. Si ocurre, asegúrese de poder restaurar desde la copia de seguridad y luego contacte con su proveedor.
Cuidado con los correos falsos que se hacen pasar por su proveedor
Cuando una vulnerabilidad está en las noticias, aumentan los correos que se hacen pasar por proveedores de hosting o de dominios («actualice de inmediato», «su cuenta será suspendida»). No inicie sesión a través de enlaces de correo; compruebe en el sitio oficial que usted mismo guardó en favoritos. Cómo reconocerlos se explica en qué es el phishing.
Postura de este sitio: el problema no es el botón de actualizar, sino las actualizaciones que se han detenido
Este fallo estaba en el propio proceso que debe mantener seguro un sitio. Con la corrección publicada, el riesgo restante está en los sitios con las actualizaciones automáticas desactivadas, en los sitios donde nadie se encarga de actualizar y en los sitios que se quedan en ramas antiguas. Para saber cómo priorizar, vea cómo priorizar vulnerabilidades (CVSS, EPSS, KEV), y para qué hacer tras la divulgación, el manual de respuesta a vulnerabilidades.
Cronología
28 de octubre de 2026
El proyecto WordPress publica 7.1.4, que corrige un fallo en el proceso de actualización que puede llevar a RCE, varios problemas de XSS almacenado y otros.29 de octubre
WordPress publica el aviso de seguridad en GitHub: una condición de carrera durante las actualizaciones del núcleo con paquete completo, con la corrección retroportada a todas las ramas hasta la 4.7. El campo CVE dice «No known CVE».30 de octubre
La prensa informa de que un proveedor de seguridad para WordPress vio una primera coincidencia de su regla de firewall nueve minutos después de desplegarla y registró más de 18.500 peticiones en las primeras 21 horas. No se informa de ningún compromiso exitoso.31 de octubre
Wordfence, como CNA, publica CVE-2026-119977, CVSS v3.1 8,1 (alta). Estado en NVD: Received.2 de noviembre
Este sitio comprueba el anuncio, el aviso, el registro del CVE y KEV. El CVE no figura en KEV.
Fuentes (registro público)
Comprobadas el 2 de noviembre de 2026. Primero el anuncio oficial, después la cobertura de prensa.
- Proyecto WordPress, «WordPress 7.1.4 Security Release» (28 de octubre de 2026) — wordpress.org
- Aviso de seguridad de GitHub de WordPress GHSA-4w3m-c66w-69mg, «A race condition during core updates that could lead to remote code execution» (29 de octubre de 2026) — github.com
- CVE-2026-119977 (publicado el 31 de octubre de 2026 por Wordfence) — cve.org / nvd.nist.gov
- Catálogo Known Exploited Vulnerabilities de CISA (comprobado el 2 de noviembre para este CVE; datos actualizados por última vez el 30 de octubre) — cisa.gov / JSON
- Prensa: SecurityWeek, «Fresh WordPress Vulnerability in Attackers' Crosshairs» (30 de octubre de 2026) — securityweek.com
Historial de actualizaciones
2026-11-02: Primera versión, basada en el anuncio y el aviso de WordPress, el registro de CVE-2026-119977 y el informe de SecurityWeek. El CVE no figuraba en KEV el 2 de noviembre.
Lectura recomendada
- ¿Fue atacado su sitio?: Cómo comprobar si su sitio web o servidor ha sido comprometido
- Refuerzo de WordPress: Seguridad de WordPress
- Preparación: Fundamentos de copias de seguridad y recuperación / Lista de comprobación del inventario de seguridad
- Otra corrección crítica el mismo mes: Los dos fallos críticos de PHP y las versiones de emergencia (octubre de 2026) / Comprobar el PHP que realmente ejecuta su sitio tras un parche de emergencia
- Términos: Qué es RCE (ejecución remota de código) / Qué es CVSS