WordPress publicó el 28 de octubre la versión 7.1.4 y recomendó actualizar los sitios de inmediato. Entre las correcciones figura una debilidad del proceso de actualización que podría permitir ejecutar código de forma remota durante una ventana específica.
El anuncio también identifica fallos de inyección de scripts almacenados, conocidos como XSS, y exposición de información. Describe vulnerabilidades corregidas, sin informar una campaña de explotación activa. Anuncio oficial de WordPress.
Fallos con condiciones de acceso diferentes
El detalle técnico muestra que los problemas no tienen un único escenario de riesgo. Varias vulnerabilidades requieren cuentas con permisos de colaborador, autor o editor. Otras afectan la confidencialidad: una de ellas permitía que visitantes sin autenticación descubrieran cambios del personalizador que todavía no se habían publicado.
También se corrigió un problema de permisos por el cual ciertos roles personalizados, capaces de moderar comentarios, podían leer, modificar o eliminar notas asociadas a publicaciones que no estaban autorizados a editar. El alcance depende, por tanto, de las versiones, funciones y permisos involucrados.
Las correcciones alcanzan ramas anteriores afectadas. La documentación identifica, entre otras, las versiones reparadas 7.0.8, 6.9.11 y 6.8.12. WordPress advierte, sin embargo, que solo su versión más reciente cuenta con soporte activo; distribuir parches a ramas antiguas no equivale a mantenerlas plenamente. Documentación de la versión 7.1.4.
Un ritmo de seguridad más intenso
En un balance publicado el 29 de octubre, el equipo informó que había distribuido cuatro actualizaciones de seguridad en 41 días. Según ese reporte, había recibido más de 3.000 informes durante 2026, una cifra superior a la de los doce años anteriores sumados.
Los reportes recibidos no equivalen automáticamente a vulnerabilidades confirmadas. El proyecto explicó que utiliza inteligencia artificial para analizar y reproducir reportes, mientras sus investigadores conservan la decisión final sobre su validez y gravedad.
El cambio también alcanza la entrega de parches: las versiones de mayor uso se atienden primero y las ramas más antiguas después. WordPress informó que había automatizado el 73% de los 109 pasos de una publicación de seguridad, manteniendo restringidas determinadas operaciones sensibles. Balance del equipo de seguridad.
Para empresas y agencias que mantienen sitios en WordPress, la publicación introduce un nuevo hito de mantenimiento del núcleo. La disponibilidad del parche, por sí sola, no acredita que cada instalación ya haya sido actualizada.