{"id":131599,"date":"2026-10-30T11:07:55","date_gmt":"2026-10-30T10:07:55","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131599"},"modified":"2026-10-30T11:07:57","modified_gmt":"2026-10-30T10:07:57","slug":"los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/","title":{"rendered":"Los atacantes ya van a por el fallo cr\u00edtico de WordPress: m\u00e1s de 18.500 intentos en 21 horas tras el parche 7.1.4"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-37-1024x576.png\" alt=\"\" class=\"wp-image-131600\" title=\"\" srcset=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-37-1024x576.png 1024w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-37-300x169.png 300w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-37-768x432.png 768w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-37.png 1200w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>El parche lleg\u00f3 a tiempo, pero los atacantes no han tardado nada en reaccionar. La empresa de seguridad <strong>Wordfence<\/strong> ha detectado <strong>m\u00e1s de 18.500 peticiones maliciosas en 21 horas<\/strong> dirigidas al fallo m\u00e1s grave que corrigi\u00f3 <strong>WordPress 7.1.4<\/strong>, la versi\u00f3n de seguridad publicada el 28 de octubre. Se trata de una vulnerabilidad que permite ejecutar c\u00f3digo en el servidor sin necesidad de iniciar sesi\u00f3n, y que afecta a todas las versiones desde la 4.7 hasta la 7.1.3. Si una web no se ha actualizado todav\u00eda, ahora s\u00ed es urgente.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_76 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/#Nueve_minutos_para_el_primer_intento\" >Nueve minutos para el primer intento<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/#Un_fallo_que_se_abre_durante_la_propia_actualizacion\" >Un fallo que se abre durante la propia actualizaci\u00f3n<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/#Que_corrige_WordPress_714\" >Qu\u00e9 corrige WordPress 7.1.4<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/#Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\" >Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"Nueve_minutos_para_el_primer_intento\"><\/span>Nueve minutos para el primer intento<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Seg\u00fan los datos de Wordfence que recogen medios especializados como GBHackers y Daily CyberSecurity, la compa\u00f1\u00eda despleg\u00f3 una regla de protecci\u00f3n en su cortafuegos a las <strong>20:30 UTC del 28 de octubre<\/strong>, unas tres horas despu\u00e9s del anuncio oficial. El primer intento de explotaci\u00f3n que encajaba con esa regla apareci\u00f3 solo <strong>nueve minutos despu\u00e9s<\/strong>.<\/p>\n<p>En las primeras 21 horas de vigilancia, el cortafuegos registr\u00f3 m\u00e1s de 18.500 peticiones contra las rutas temporales del instalador. Dos or\u00edgenes concretos estuvieron sondeando de forma repetida peque\u00f1os grupos de webs durante unas <strong>14,5 horas<\/strong>, mientras que otros probaban distintas carpetas y nombres de versi\u00f3n. Wordfence advierte de que sus datos muestran intentos activos, no cu\u00e1ntas webs han sido comprometidas, si es que lo ha sido alguna.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Un_fallo_que_se_abre_durante_la_propia_actualizacion\"><\/span>Un fallo que se abre durante la propia actualizaci\u00f3n<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La vulnerabilidad la descubri\u00f3 el investigador <strong>Umut Bayram<\/strong> y tiene una puntuaci\u00f3n CVSS de 8,1, aunque todav\u00eda no tiene un identificador CVE asignado. El problema est\u00e1 en el proceso de actualizaci\u00f3n del n\u00facleo: cuando WordPress se actualiza con el paquete completo, descomprime los archivos en una carpeta con un nombre predecible dentro de <strong>wp-content\/upgrade<\/strong>, incluido el instalador.<\/p>\n<p>Si el servidor permite acceder a esa carpeta desde internet y ejecutar PHP en ella, un atacante que llegue a tiempo al archivo <strong>setup-config.php<\/strong> que queda en esa zona temporal puede ejecutar c\u00f3digo en el servidor. La ventana es muy corta: en las pruebas de laboratorio de Wordfence, la carpeta solo exist\u00eda unos segundos. Por eso los atacantes no lanzan una \u00fanica petici\u00f3n, sino que <strong>sondean de forma autom\u00e1tica<\/strong> y repetida a la espera de pillar una actualizaci\u00f3n en curso.<\/p>\n<p>Las valoraciones del riesgo no coinciden del todo. Patchstack le da una puntuaci\u00f3n de 9 sobre 10, pero considera su explotaci\u00f3n <strong>\u00abpoco pr\u00e1ctica\u00bb<\/strong> por lo ajustado de esa ventana. La actividad que ha detectado Wordfence demuestra, en cualquier caso, que hay quien lo est\u00e1 intentando a gran escala.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_corrige_WordPress_714\"><\/span>Qu\u00e9 corrige WordPress 7.1.4<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La nueva versi\u00f3n cambia la forma en que se prepara la actualizaci\u00f3n: seg\u00fan Wordfence, <strong>aleatoriza el nombre de la carpeta temporal<\/strong>, a\u00f1ade una protecci\u00f3n de \u00edndice y bloquea el uso inseguro de los datos de configuraci\u00f3n que quedan en esa zona. Las correcciones se han llevado a todas las ramas que todav\u00eda reciben parches de seguridad, hasta WordPress 4.7, aunque solo la \u00faltima versi\u00f3n tiene soporte activo.<\/p>\n<p>El paquete inclu\u00eda adem\u00e1s otros arreglos, sobre todo fallos de <strong>cross-site scripting almacenado<\/strong> en el editor de bloques y en la Interactivity API, problemas de exposici\u00f3n de informaci\u00f3n y de permisos. Pero ninguno ha despertado la atenci\u00f3n de los atacantes como este, que no exige tener ninguna cuenta en la web.<\/p>\n<p>Un detalle importante para quien use el plugin gratuito de Wordfence: los clientes de pago de <strong>Premium, Care y Response<\/strong> recibieron la regla de protecci\u00f3n el mismo 28 de octubre, pero los usuarios de la versi\u00f3n gratuita no la tendr\u00e1n hasta el <strong>27 de noviembre<\/strong>. Hasta entonces, su \u00fanica defensa real es tener el n\u00facleo actualizado.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\"><\/span>Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Lo primero es <strong>comprobar la versi\u00f3n instalada<\/strong> en Escritorio, Actualizaciones, y confirmar que cada sitio est\u00e1 en la 7.1.4 o en el parche correspondiente de su rama. Las fuentes insisten en no dar por hecho que las actualizaciones autom\u00e1ticas en segundo plano ya se han completado: en agencias y redes de sitios, conviene revisarlo uno por uno o con la herramienta de gesti\u00f3n habitual.<\/p>\n<p>Si por alg\u00fan motivo no se puede actualizar de inmediato, Patchstack recomienda <strong>bloquear el acceso web a wp-content\/upgrade<\/strong> desde la configuraci\u00f3n del servidor y asegurarse de que esa carpeta no se puede listar. Quien use Wordfence puede activar la protecci\u00f3n extendida, que carga el cortafuegos antes de que se ejecute cualquier archivo PHP solicitado directamente.<\/p>\n<p>Y actualizar no basta para saber si una web expuesta est\u00e1 limpia. Lo prudente es revisar los registros del servidor en busca de <strong>peticiones extra\u00f1as a archivos PHP<\/strong> dentro de wp-content\/upgrade, comprobar que no han aparecido administradores ni plugins desconocidos y escanear la instalaci\u00f3n en busca de archivos modificados. Con WordPress presente en m\u00e1s del 43 % de las webs, seg\u00fan W3Techs, este tipo de fallos se convierte en objetivo prioritario en cuesti\u00f3n de horas.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>El parche lleg\u00f3 a tiempo, pero los atacantes no han tardado nada en reaccionar. La empresa de seguridad Wordfence ha &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"Los atacantes ya van a por el fallo cr\u00edtico de WordPress: m\u00e1s de 18.500 intentos en 21 horas tras el parche 7.1.4\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/los-atacantes-ya-van-a-por-el-fallo-critico-de-wordpress-mas-de-18-500-intentos-en-21-horas-tras-el-parche-7-1-4\/#more-131599\" aria-label=\"Leer m\u00e1s sobre Los atacantes ya van a por el fallo cr\u00edtico de WordPress: m\u00e1s de 18.500 intentos en 21 horas tras el parche 7.1.4\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131600,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[163],"tags":[],"class_list":["post-131599","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131599","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131599"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131599\/revisions"}],"predecessor-version":[{"id":131601,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131599\/revisions\/131601"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131600"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131599"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131599"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131599"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}