--- title: "WordPress 7.1.2: fallo crítico sin contraseña, actualiza ya" description: "WordPress publicó el 22 de septiembre de 2026 la 7.1.2: corrige un fallo crítico que, en ciertas condiciones, permite ejecutar código en tu web sin iniciar sesión." canonical: "https://rigolco.com/noticias/wordpress-7-1-2-fallo-critico-actualiza/" lang: "es" datePublished: "2026-09-27T00:00:00.000Z" dateModified: "2026-10-11T00:00:00.000Z" author: "Ton Rigol" --- URL: https://rigolco.com/noticias/wordpress-7-1-2-fallo-critico-actualiza/ # WordPress 7.1.2 corrige un fallo crítico que, en ciertas condiciones, deja tomar tu web sin contraseña: actualiza ya WordPress publicó el 22 de septiembre de 2026 la 7.1.2: corrige un fallo crítico que, en ciertas condiciones, permite ejecutar código en tu web sin iniciar sesión. ![Ton Rigol](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) 27 de septiembre de 2026 · Actualizado el 11 de octubre de 2026 · 4 min de lectura - 3 fuentes citadas > **Actualización (2026-10-11):** la versión que tienes que tener ahora es la 7.1.3\. WordPress la publicó el 6 de octubre de 2026 con 7 arreglos de seguridad y 4 de errores, y recomienda actualizar «inmediatamente», según el [comunicado oficial](https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/). Ninguno de los 7 es una ejecución remota de código como el de la 7.1.2, pero dos se explotan sin iniciar sesión (la lectura de comentarios de entradas privadas y un XSS en las incrustaciones de Imgur) y otro es un XSS almacenado que entra por los comentarios pendientes y se dispara en el panel. Quien actualice a la 7.1.3 cubre también la 7.1.1 y la 7.1.2\. Para las ramas antiguas (hasta la 4.7) los parches llegan más tarde y sin fecha: «The backports are in progress and will ship as they become ready» (los parches para versiones anteriores están en curso y saldrán conforme estén listos). Si tu web tiene los comentarios abiertos, revisa la cola de pendientes después de actualizar. WordPress publicó el 22 de septiembre de 2026 la versión 7.1.2, con un solo arreglo de seguridad, de severidad crítica, registrado como CVE-2026-87902 / GHSA-7hp8-65ch-5whp, según el comunicado oficial en wordpress.org. El fallo está en el núcleo de WordPress, no en un plugin: un visitante sin sesión puede, en ciertas condiciones, hacer que la web cargue un archivo PHP que no debería y, si el servidor y el tema activo cumplen ciertas precondiciones, ejecutar código en el servidor. Llega cinco días después de la 7.1.1, así que una web que se quedó en la 7.1 acumula las dos. **La versión que tienes que tener: 7.1.2.** «an unauthenticated attacker can, under certain conditions, make page template resolution include a chosen readable local PHP file outside the active theme directories» (un atacante sin autenticar puede, en ciertas condiciones, hacer que la resolución de plantillas de página incluya un archivo PHP local legible elegido por él, fuera de los directorios del tema activo), dice el comunicado de WordPress del 22 de septiembre de 2026. ## ¿Qué corrige exactamente WordPress 7.1.2? WordPress 7.1.2 corrige un único fallo en la resolución de plantillas de página del núcleo, que un atacante puede disparar sin usuario ni contraseña y que, según el comunicado del 22 de septiembre de 2026, puede derivar en ejecución remota de código si se cumplen precondiciones del servidor y del tema activo. El arreglo se llevó a todas las ramas de WordPress que aún reciben parches de seguridad, hasta la 4.7, aunque WordPress recuerda que solo la versión más reciente tiene soporte activo. ## ¿Qué es lo que WordPress no ha dicho? El comunicado de la 7.1.2 no detalla qué precondiciones de servidor y de tema hacen falta, ni publica puntuación de gravedad CVSS ni el rango de versiones afectadas. Tampoco anuncia una actualización forzada, como sí hizo con la [7.0.2 de julio](https://rigolco.com/noticias/wordpress-702-actualizacion-forzada/): solo dice que los sitios con actualizaciones automáticas en segundo plano empiezan a actualizarse solos. Que tu web tenga activadas esas actualizaciones no garantiza que ya esté en la 7.1.2: hay que comprobarlo. ## ¿Qué cifras y fechas hay que apuntar? - **22 de septiembre de 2026**: WordPress publica la 7.1.2, con un solo arreglo de seguridad de severidad crítica (CVE-2026-87902 / GHSA-7hp8-65ch-5whp), llevado a todas las ramas con parches de seguridad, hasta la 4.7\. Fuente: [WordPress.org, publicación de la 7.1.2](https://wordpress.org/news/2026/09/wordpress-7-1-2-release/). - **17 de septiembre de 2026**: la 7.1.1 corrigió 17 fallos del núcleo, 19 del editor de bloques y 11 de seguridad, ninguno de los 11 con CVE público; actualizar a la 7.1.2 cubre las dos versiones. Fuente: [WordPress.org, publicación de la 7.1.1](https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/). ## ¿Qué tienes que hacer esta semana? Si tu pyme tiene la web en WordPress, basta con una pregunta a quien la mantiene: en qué versión está. Tres pasos: 1. Comprobar la versión en el panel de WordPress (o con `wp core version` si alguien entra por terminal). Si tiene las actualizaciones automáticas activas, confirmar que de verdad llegó a la 7.1.2, no darlo por hecho. 2. Si las actualizaciones automáticas están desactivadas —algo habitual en webs con plugins delicados o que se despliegan desde un repositorio—, actualizar a mano ya: el fallo no necesita usuario ni contraseña, el peor escenario para una web pública. 3. Tras actualizar, revisar las páginas que usan plantillas personalizadas del tema, porque el arreglo toca justo cómo WordPress las elige. En agosto de 2026 ya hubo otro parche urgente, [la 7.0.4](https://rigolco.com/noticias/wordpress-704-parche-urgente/): revisar la versión de WordPress conviene que sea una rutina, no una reacción a cada aviso. En Rigol&Co podemos revisar contigo en qué versión está tu web y actualizarla sin romper nada. ## Fuentes 1. [WordPress.org · versión de mantenimiento y seguridad 7.1.3 (6 de octubre de 2026)](https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/) · WordPress, el propio proyecto, describiendo sus fallos 2. [WordPress.org · publicación de la versión 7.1.2](https://wordpress.org/news/2026/09/wordpress-7-1-2-release/) · WordPress, el propio proyecto, describiendo su fallo 3. [WordPress.org · publicación de la versión 7.1.1](https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/) El resto de noticias, en [Noticias](https://rigolco.com/noticias/). El porqué largo, con cifras y fuentes, en [Análisis](https://rigolco.com/analisis/). ![](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) Fundador de Rigol&Co. Querétaro, México. ¿Te resultó útil? Añade **Rigol&Co** como fuente preferida y verás nuestras noticias más a menudo en tu Búsqueda de Google. [ Añadir como fuente preferida en Google ](https://google.com/preferences/source?q=rigolco.com) ## ¿Hablamos de tu proyecto? Cuéntanos qué necesitas y te decimos con honestidad qué tiene más sentido para tu negocio. [ Agenda una llamada ](https://cal.com/ton-rigol-rojano-okaosp/30min) ## Relacionadas [Ver todas las noticias](https://rigolco.com/noticias/) [ **Sitios web** · 31 agosto 2026 Tu sitemap.xml va a dejar de verse bien el 17 de noviembre (y tu feed RSS también) ](https://rigolco.com/noticias/chrome-apaga-xslt-sitemap/)[ **Sitios web** · 25 agosto 2026 Cloudflare pone nota a tu web: ¿está lista para los agentes de IA? ](https://rigolco.com/noticias/cloudflare-agent-readiness-score/)