Vulnerabilidad del núcleo de WordPress explotada en la práctica.

El 29 de octubre de 2026, Wordfence advirtió que ciberdelincuentes estaban explotando activamente una vulnerabilidad crítica en el núcleo de WordPress. Esta vulnerabilidad afecta a las versiones 4.7 a 7.1.3 y permite a atacantes no autenticados ejecutar código arbitrario durante las actualizaciones del núcleo. Los administradores de sitios web deben actualizar sus sitios a WordPress 7.1.4 o a la versión de seguridad correspondiente de inmediato.

Por qué es importante

Según datos de mercado de W3Techs, WordPress impulsa más del 43 % de todos los sitios web en internet. Esto representa aproximadamente 500 millones de sitios web activos a nivel mundial. Por lo tanto, una vulnerabilidad sin autenticación en el núcleo de WordPress genera una enorme exposición en la web.

Los investigadores de Wordfence confirmaron la explotación activa poco después del lanzamiento. En concreto, Wordfence señaló que «la telemetría de Wordfence muestra que los ciberdelincuentes ya están intentando explotar la vulnerabilidad». La empresa de seguridad registró más de 18.500 solicitudes maliciosas dirigidas a las rutas de instalación en tan solo 21 horas. Además, no se ha confirmado la existencia de ningún código de explotación público que funcione, y MITRE aún no ha asignado un identificador CVE oficial.

Cómo funciona el ataque

La vulnerabilidad se origina en las rutas de almacenamiento temporal predecibles y accesibles desde la web que se utilizan durante las actualizaciones completas del núcleo. El investigador Umut Bayram descubrió el problema, que tiene una puntuación CVSS de 8.1.

El aviso de seguridad de Wordfence explica: «El núcleo de WordPress es vulnerable a la ejecución remota de código en las versiones 4.7 a 7.1.3». El informe añade: «Esto se debe a las rutas de almacenamiento temporal predecibles y accesibles desde la web que se utilizan durante las actualizaciones completas del núcleo».

Condición de carrera en la ventana de actualización

Cuando WordPress procesa una actualización completa del núcleo, descomprime los archivos en un directorio predecible dentro de wp-content/upgrade. Esta carpeta temporal incluye los scripts del instalador de WordPress.

Dado que muchos servidores exponen el directorio de almacenamiento temporal a la web, un atacante no autenticado puede solicitar el archivo setup-config.php almacenado en el directorio. Si el atacante accede al archivo durante la descompresión, puede ejecutar código PHP en el servidor.

Sin embargo, el ataque requiere una sincronización precisa. Como observó Wordfence, «en entornos de laboratorio, el directorio de preparación vulnerable normalmente permanecía disponible solo durante unos segundos». Para aprovechar esta condición de carrera, los ciberdelincuentes implementan scripts automatizados que consultan repetidamente los sitios objetivo durante las ventanas de actualización.

Otras vulnerabilidades de seguridad en la versión

La actualización también corrige otras 21 vulnerabilidades, como se detalla en la documentación oficial de WordPress 7.1.4. Estas incluyen múltiples errores de secuencias de comandos entre sitios (XSS) almacenadas en el editor de bloques y fallos en la API de interactividad.

Versiones afectadas

Esta vulnerabilidad del núcleo de WordPress afecta a las versiones 4.7 a 7.1.3 al realizar actualizaciones completas del paquete. Las versiones 4.6 y anteriores no reciben actualizaciones de seguridad y siguen siendo vulnerables.

Parche y medidas de mitigación

WordPress resolvió la condición de carrera en la versión 7.1.4 mediante la aleatorización del directorio de preparación y la adición de protección de índice. El equipo de seguridad también implementó la corrección en versiones anteriores hasta la 4.7.

Los propietarios de sitios web deben acceder al Panel de control, hacer clic en Actualizaciones y confirmar que su instalación ejecuta WordPress 7.1.4. Los administradores también deben optimizar los firewalls de los puntos finales con protección extendida para filtrar las solicitudes directas a archivos PHP. Además, los administradores del servidor pueden denegar el acceso web público al directorio wp-content/upgrade en la configuración del servidor web.