WordPress: nova falha explorada horas após correção

El 28 de octubre de 2026 WordPress lanzó la versión 7.1.4, que incluye parches para 22 vulnerabilidades, entre ellas una condición de carrera (race condition) en el proceso de actualización del núcleo que permite la ejecución remota de código sin autenticación. La falla se solucionó randomizando el directorio temporal usado durante la descompresión del paquete de actualización y añadiendo protección de índice.

Según la empresa de seguridad Defiant, atacantes ya están intentando explotar la vulnerabilidad de forma activa. Wordfence registró más de 18 500 solicitudes dirigidas a la ruta temporal setup‑config.php en las primeras 21 horas, la primera coincidencia ocurrió nueve minutos después de que se publicara el parche. Hasta el momento no se han confirmado compromisos exitosos.

Se recomienda a los propietarios de sitios actualizar inmediatamente a WordPress 7.1.4 (o al parche retroportado correspondiente), revisar los registros de acceso en busca de peticiones a wp‑content/upgrade y eliminar archivos PHP inesperados, y habilitar reglas de firewall que bloqueen la ruta temporal. Si su sitio sigue en versiones anteriores, aplique los parches retroportados.

Qué significa para una pyme colombiana y cucuteña: Actualice WordPress a la versión 7.1.4 o al parche retroportado hoy mismo; revise los logs de acceso en busca de peticiones a wp‑content/upgrade y bloquee esas rutas con su firewall; elimine cualquier archivo PHP desconocido y cambie las contraseñas de administrador.