Actualizar WordPress es lo primero que recomendamos en cualquier diagnóstico. Esta semana apareció una falla con una ironía difícil de ignorar: el peligro está justo en el momento de actualizar.
El 28 de octubre de 2026, WordPress publicó la versión 7.1.4, con 22 correcciones de seguridad. La más seria tiene nombre: CVE-2026-119977, una falla que permite a un atacante sin clave ejecutar código en tu servidor durante los segundos que dura una actualización del núcleo. Tres días después, Wordfence reporta más de 60 mil intentos de ataque en 24 horas contra esa falla.
¿Qué pasa durante la actualización?
Cuando WordPress se actualiza, descarga el paquete nuevo y lo descomprime en una carpeta temporal dentro de wp-content/upgrade/. Hasta la versión 7.1.3, esa carpeta tenía un nombre predecible, y en muchos servidores se podía abrir desde el navegador.
Ahí está la grieta. Dentro del paquete viene el instalador de WordPress, el mismo que usas la primera vez para conectar el sitio a su base de datos. Si un atacante llega a ese instalador en el momento justo, puede conectarlo a una base de datos propia y terminar ejecutando código en tu servidor. Sin usuario. Sin clave. Sin que nadie haga clic.
La ventana dura segundos, así que no es un ataque fácil. Por eso WordPress lo califica como de riesgo bajo, mientras Wordfence le da un CVSS de 8,1 (alto). Ambos tienen algo de razón. Lo que inclina la balanza es el volumen: quien intenta miles de veces al día contra miles de sitios no necesita mucha suerte.
¿Estás en riesgo?
La falla afecta a WordPress desde la 4.7 hasta la 7.1.3. La corrección llegó a todas las ramas con soporte:
| Tu rama de WordPress | Versión corregida |
|---|---|
| 7.1.x | 7.1.4 |
| 7.0.x | 7.0.8 |
| 6.9.x | 6.9.11 |
| 6.8.x | 6.8.12 |
| 6.7.x a 4.7.x | el parche de seguridad de tu rama (por ejemplo 6.7.11 o 5.9.20) |
| 4.6 o anterior | sin parche: hay que migrar |
Si tu sitio se actualiza solo, lo más probable es que ya esté corregido. Pero “lo más probable” no basta. Las actualizaciones automáticas fallan en silencio más seguido de lo que crees: un permiso de archivo mal puesto, un disco lleno o un plugin que interrumpe el proceso.
No es lo único que pasó en octubre
Esta falla llega en un mes especialmente movido para WordPress. Hubo otros dos incidentes, y ellos sí terminaron con puertas traseras instaladas en sitios reales:
- Claves robadas de UpdraftCentral (18 y 19 de octubre). Alguien obtuvo las claves que usa el servicio de gestión remota de UpdraftPlus, el plugin de respaldos con más de 4 millones de instalaciones. Con ellas instaló plugins falsos en los sitios conectados. Patchstack contó 99 nombres distintos en unas 18 horas; el más repetido fue “Site Health Cache”. Ojo: muchos sitios quedaron conectados sin saberlo, porque esa opción venía marcada por defecto.
- Rank Math PRO con malware (15 y 16 de octubre). Durante unas 11 horas, la versión 3.0.123 de la edición pagada de Rank Math se distribuyó con código malicioso desde el sitio oficial. Es un ataque a la cadena de suministro: actualizaste un plugin legítimo y recibiste una puerta trasera. La versión 3.0.124 lo corrige, pero actualizar no limpia lo que el malware dejó instalado.
Son tres problemas distintos con un mismo resultado posible: alguien instala código en tu sitio sin tu permiso. Ya lo explicamos al hablar de cómo un plugin se convierte en puerta trasera.
Qué hacer hoy
1. Confirma tu versión. Entra a Escritorio, Actualizaciones. Debe decir 7.1.4 o el parche de tu rama. Si no, actualiza ahora.
2. Cierra el acceso web a wp-content/upgrade/. WordPress usa esa carpeta desde el propio servidor, nunca desde el navegador, así que bloquearla no rompe nada. En Apache basta con una regla Require all denied para esa ruta; en nginx, un deny all. Si usas un hosting administrado, pídeselo a tu proveedor.
3. Si usas UpdraftPlus, borra las claves de UpdraftCentral aunque no uses ese servicio: Ajustes, UpdraftPlus Backups, Herramientas avanzadas, UpdraftCentral. Tus respaldos siguen funcionando igual.
4. Si usas Rank Math PRO, confirma que estás en 3.0.124 o superior. Si tuviste la 3.0.123 activa, trata el sitio como comprometido y restaura un respaldo anterior al 15 de octubre.
5. Busca señales de intrusión. Revisa la lista de usuarios: cualquier administrador o editor que no reconozcas es una alarma. Revisa también los plugins instalados: si ves uno que nadie de tu equipo instaló, no lo borres desde el panel (algunos borran sus propias huellas al desinstalarse); pide ayuda para analizarlo.
Lo que vimos en nuestros propios sitios
En Asentic operamos varios sitios WordPress, así que hicimos el mismo ejercicio que te proponemos. Todos se habían actualizado solos a la 7.1.4 en las horas siguientes a su publicación. Los archivos del núcleo y de los plugins coinciden con las versiones oficiales, y no apareció ningún usuario ni plugin desconocido.
En los registros sí aparecieron los intentos. Robots de distintos países pidiendo wp-content/upgrade/ y rutas inventadas dentro de ella, varias veces al día. Uno de esos sondeos llegó un minuto antes de que uno de nuestros sitios iniciara su actualización automática. El servidor le negó el acceso a la carpeta y no pasó nada, pero muestra lo cerca que anda el ataque: los robots no esperan, prueban todo el tiempo.
También actualizamos FreeScan, nuestro diagnóstico gratuito. Desde hoy detecta las versiones de WordPress vulnerables a CVE-2026-119977 y avisa si la carpeta wp-content/upgrade/ deja listar su contenido.
El patrón de siempre
Hace unos meses fue wp2shell, hace diez días PHP2Shell, y ahora esto. La defensa no cambia: mantener todo al día y, sobre todo, verificar que la actualización realmente ocurrió. Es el hábito que explicamos en actualizar periódicamente, el más básico y el que más sitios salva.
Si no sabes en qué versión está tu sitio, FreeScan te da una foto de tu postura de seguridad en minutos, sin costo ni compromiso.
Este material es informativo. Las versiones, fechas y cifras corresponden a los avisos de WordPress, Wordfence y Patchstack al 31 de octubre de 2026. Las cifras de Wordfence son intentos de ataque bloqueados, no sitios comprometidos.
