{"id":131593,"date":"2026-10-30T11:06:01","date_gmt":"2026-10-30T10:06:01","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131593"},"modified":"2026-10-30T11:06:03","modified_gmt":"2026-10-30T10:06:03","slug":"wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/","title":{"rendered":"WordPress 7.1.4 corrige 12 fallos de seguridad, uno capaz de ejecutar c\u00f3digo durante la actualizaci\u00f3n: toca actualizar ya"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-35-1024x576.png\" alt=\"\" class=\"wp-image-131594\" title=\"\" srcset=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-35-1024x576.png 1024w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-35-300x169.png 300w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-35-768x432.png 768w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-35.png 1200w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>Toca volver a actualizar WordPress, y esta vez sin esperar. El proyecto public\u00f3 el <strong>mi\u00e9rcoles 28 de octubre<\/strong> la versi\u00f3n <strong>WordPress 7.1.4<\/strong>, una actualizaci\u00f3n de seguridad que corrige <strong>12 vulnerabilidades<\/strong> y renueva los certificados ra\u00edz que incluye el CMS. La m\u00e1s delicada afecta al propio proceso de actualizaci\u00f3n y, seg\u00fan el anuncio oficial, podr\u00eda permitir la <strong>ejecuci\u00f3n remota de c\u00f3digo<\/strong> durante esa ventana. WordPress recomienda actualizar los sitios \u00abinmediatamente\u00bb.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_76 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/#El_fallo_mas_grave_esta_en_la_propia_actualizacion\" >El fallo m\u00e1s grave est\u00e1 en la propia actualizaci\u00f3n<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/#Una_ristra_de_XSS_en_bloques_Interactivity_API_y_Customizer\" >Una ristra de XSS en bloques, Interactivity API y Customizer<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/#Parches_hasta_WordPress_47_y_actualizacion_automatica\" >Parches hasta WordPress 4.7 y actualizaci\u00f3n autom\u00e1tica<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/#Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\" >Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"El_fallo_mas_grave_esta_en_la_propia_actualizacion\"><\/span>El fallo m\u00e1s grave est\u00e1 en la propia actualizaci\u00f3n<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>El anuncio, firmado por <strong>Aaron Jorbin<\/strong>, que lidera la versi\u00f3n junto a Nik Tsekouras, describe una debilidad en el proceso de actualizaci\u00f3n que podr\u00eda permitir ejecutar c\u00f3digo en remoto mientras se instala la nueva versi\u00f3n. La descubri\u00f3 el investigador <strong>Umut Bayram<\/strong>. WordPress no ha detallado qu\u00e9 condiciones hacen falta para aprovecharla.<\/p>\n<p>Roger Montti, de Search Engine Journal, la considera <strong>\u00abposiblemente la m\u00e1s relevante\u00bb<\/strong> del paquete, porque un fallo de ejecuci\u00f3n remota de c\u00f3digo puede acabar en el control total de una web. Es precisamente el tipo de vulnerabilidad que convierte un parche rutinario en una urgencia para agencias y administradores con muchos sitios a su cargo.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Una_ristra_de_XSS_en_bloques_Interactivity_API_y_Customizer\"><\/span>Una ristra de XSS en bloques, Interactivity API y Customizer<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>El resto de la lista est\u00e1 dominado por fallos de <strong>cross-site scripting almacenado (XSS)<\/strong>, que permiten guardar c\u00f3digo malicioso en la web para que se ejecute despu\u00e9s en el navegador de quien la visita o la administra. Afectan al marcado de bloques, a varios puntos de la <strong>Interactivity API<\/strong>, a la actualizaci\u00f3n selectiva del Customizer, al bloque de categor\u00edas, a los bloques de lista de reproducci\u00f3n e imagen y a los de paginaci\u00f3n de comentarios.<\/p>\n<p>Hay tambi\u00e9n un XSS almacenado a trav\u00e9s de las solicitudes de borrado de datos personales y otro mediante <strong>nombres de usuario manipulados<\/strong>, ambos atribuidos a Anthropic. Completan la lista una denegaci\u00f3n de servicio almacenada en la Interactivity API, la posibilidad de descubrir sin autenticarse cambios del Customizer a\u00fan no publicados y un problema por el que usuarios con privilegios pod\u00edan leer las <strong>notas del editor<\/strong> de entradas que no pueden editar.<\/p>\n<p>Seg\u00fan Search Engine Journal, muchos de estos fallos exigen tener <strong>acceso de colaborador o superior<\/strong>, lo que reduce el riesgo de explotaci\u00f3n. Pero no lo elimina: en webs con muchos autores, cuentas antiguas sin revisar o accesos de terceros, un rol de colaborador no es una barrera tan alta como parece.<\/p>\n<p>El paquete se cierra con la actualizaci\u00f3n de los <strong>certificados ra\u00edz<\/strong> incluidos en WordPress, tras la revocaci\u00f3n de los de eMudhra. Entre los investigadores acreditados figuran Rafie Muhammad, de Awesome Motive, Antonio Lorensius Silaban y varios miembros del equipo de seguridad de WordPress, como Jon Surrell, Ben Bidner y Alex Concha.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Parches_hasta_WordPress_47_y_actualizacion_automatica\"><\/span>Parches hasta WordPress 4.7 y actualizaci\u00f3n autom\u00e1tica<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Las correcciones se han llevado a <strong>todas las ramas que siguen recibiendo parches de seguridad<\/strong>, que ahora mismo llegan hasta WordPress 4.7, aunque el proyecto recuerda que solo la \u00faltima versi\u00f3n tiene soporte activo. Algunas de esas versiones antiguas todav\u00eda se est\u00e1n preparando y se publicar\u00e1n a medida que est\u00e9n listas. La beta 3 de WordPress 7.2 tambi\u00e9n incluye los arreglos.<\/p>\n<p>Las webs con las <strong>actualizaciones autom\u00e1ticas en segundo plano<\/strong> activadas pasar\u00e1n solas a la 7.1.4. El resto puede descargarla desde WordPress.org o hacerlo desde el escritorio, en Escritorio, Actualizaciones, con el bot\u00f3n \u00abActualizar ahora\u00bb. La pr\u00f3xima versi\u00f3n mayor, <strong>WordPress 7.2<\/strong>, est\u00e1 prevista para el 8 de diciembre.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\"><\/span>Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La prioridad es clara: <strong>comprobar hoy mismo la versi\u00f3n<\/strong> de cada sitio y confirmar que est\u00e1 en la 7.1.4 o en el parche correspondiente de su rama. Si las actualizaciones autom\u00e1ticas est\u00e1n desactivadas por compatibilidad con plugins o temas, conviene hacer copia de seguridad, probar en un entorno de staging si existe y actualizar cuanto antes.<\/p>\n<p>Aprovechando el parche, merece la pena <strong>revisar los usuarios con rol de colaborador o superior<\/strong> y eliminar cuentas que ya no se usan, porque buena parte de estos fallos parte de ese nivel de acceso. Tambi\u00e9n es buen momento para revisar contenidos recientes de autores externos en busca de c\u00f3digo extra\u00f1o.<\/p>\n<p>Y no hay que bajar la guardia en el resto de la pila. Octubre ha sido un mes intenso en seguridad para el ecosistema, con los fallos cr\u00edticos de <strong>PHP2Shell<\/strong> en PHP y el robo de claves de UpdraftCentral que afect\u00f3 a webs con UpdraftPlus. Mantener al d\u00eda el n\u00facleo, los plugins y la versi\u00f3n de PHP del servidor sigue siendo la defensa m\u00e1s eficaz.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Toca volver a actualizar WordPress, y esta vez sin esperar. El proyecto public\u00f3 el mi\u00e9rcoles 28 de octubre la versi\u00f3n &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"WordPress 7.1.4 corrige 12 fallos de seguridad, uno capaz de ejecutar c\u00f3digo durante la actualizaci\u00f3n: toca actualizar ya\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-1-4-corrige-12-fallos-de-seguridad-uno-capaz-de-ejecutar-codigo-durante-la-actualizacion-toca-actualizar-ya\/#more-131593\" aria-label=\"Leer m\u00e1s sobre WordPress 7.1.4 corrige 12 fallos de seguridad, uno capaz de ejecutar c\u00f3digo durante la actualizaci\u00f3n: toca actualizar ya\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131594,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[163],"tags":[],"class_list":["post-131593","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131593","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131593"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131593\/revisions"}],"predecessor-version":[{"id":131595,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131593\/revisions\/131595"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131594"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131593"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131593"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131593"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}