WordPress 7.1.4 corrige un fallo grave y ya se intenta explotar

Qué ha pasado

El 28 de octubre de 2026 se publicó WordPress 7.1.4, una versión de seguridad que, según el propio proyecto, corrige 22 vulnerabilidades. La más seria afecta al proceso con el que el núcleo de WordPress se actualiza a sí mismo.

Es lo que se conoce como condición de carrera: dos operaciones compiten por el tiempo y, si alguien se cuela en el momento justo, puede alterar lo que debería pasar. Aquí el posible resultado es la ejecución remota de código, es decir, que un tercero consiga que tu servidor ejecute órdenes suyas. Además, el fallo puede aprovecharse sin tener cuenta ni iniciar sesión en la web.

La firma de seguridad Wordfence, que ha dado la noticia, avisa de que tras la publicación de la versión ya se han detectado intentos de explotación. No es, por tanto, un riesgo teórico para el futuro: hay quien lo está probando ahora.

Por qué le importa a tu empresa

Si tu web, tu tienda o tu blog corporativo funcionan con WordPress, este aviso va contigo. Una ejecución remota de código es uno de los peores escenarios posibles: quien la consigue puede tomar el control del sitio, y con él acceder a lo que haya dentro, como formularios de contacto, datos de clientes o pedidos.

Las consecuencias no serían solo técnicas. Si se vieran afectados datos personales, podrías encontrarte con una brecha de seguridad que hay que valorar y, en su caso, notificar según el RGPD. A eso se suman la pérdida de confianza de los clientes y el tiempo y el dinero de recuperar una web comprometida.

Cuando ya hay intentos de ataque en marcha, el margen para actualizar se acorta. Cada día con la versión anterior es un día de exposición evitable.

Mi opinión

Sin alarmismo: actualizar WordPress es una tarea rutinaria y, en la mayoría de los casos, rápida. Lo que cambia esta vez es la urgencia. Un fallo que no exige credenciales y que ya se intenta explotar no es de los que se dejan para el mes que viene.

Lo que más veo en las pymes no es falta de interés, sino falta de responsable. La web la hizo una agencia hace años, nadie sabe quién la mantiene y el panel lleva meses sin abrirse. Si es tu caso, este es un buen momento para aclarar quién se ocupa de qué y dejarlo por escrito.

Con la información publicada hasta ahora no conviene especular sobre detalles técnicos. Lo sensato es hacer lo que recomienda Wordfence: comprobar que el sitio está en la versión corregida. En XEVIA revisamos justo esto en las webs de nuestros clientes, pero no hace falta contratar nada para dar el primer paso.

Qué hacer hoy

• Comprueba la versión en el panel de WordPress y confirma que tu sitio está en la 7.1.4. Si no, actualiza.
• Haz una copia de seguridad antes de actualizar, o verifica que existe una reciente y que se puede restaurar.
• Si la web la lleva un proveedor, pídele hoy mismo confirmación por escrito de que ya está actualizada.
• Revisa los usuarios administradores y elimina cualquiera que no reconozcas. Actualiza también plugins y temas pendientes.
• Vigila señales raras, como archivos desconocidos, redirecciones inesperadas o lentitud repentina. Si las ves, cambia contraseñas y pide una revisión de seguridad.