WordPress 7.1.4: actualización de seguridad urgente por un fallo que puede llevar a ejecutar código durante la actualización

WordPress publicó el 28 de octubre de 2026 la versión 7.1.4, solo de seguridad, y recomienda actualizar los sitios inmediatamente, según el anuncio oficial en WordPress.org. El fallo más grave es una debilidad del proceso de actualización que puede llevar a ejecución remota de código durante la ventana de actualización; el resto son sobre todo XSS almacenados, que entran por contenido de usuarios con sesión. Es otra versión y otro fallo que los de la 7.1.2 de septiembre.

La versión que tienes que tener: 7.1.4. «This security release features fixes for multiple issues. Because this is a security release, it is recommended that you update your sites immediately.» (Esta versión de seguridad incluye arreglos para varios problemas. Como es una versión de seguridad, se recomienda que actualices tus sitios inmediatamente), dice el anuncio de WordPress del 28 de octubre de 2026.

¿Qué corrige WordPress 7.1.4?

WordPress 7.1.4 corrige, ante todo, un fallo del propio proceso de actualización: «A weakness in the WordPress upgrade process which can lead to remote code execution during the upgrade window, reported by Umut Bayram.» (Una debilidad en el proceso de actualización de WordPress que puede llevar a la ejecución remota de código durante la ventana de actualización, reportada por Umut Bayram), según el anuncio del 28 de octubre de 2026. Además arregla varios XSS almacenados (en la Interactivity API, el Customizer y los bloques Categories, Playlist, Image y de paginación de comentarios), una denegación de servicio almacenada en la Interactivity API y un fallo por el que usuarios sin sesión podían descubrir cambios del Customizer aún no publicados.

¿Qué no ha dicho WordPress?

El anuncio del 28 de octubre de 2026 no detalla quién puede provocar el fallo de ejecución remota de código ni en qué condiciones, más allá de que ocurre durante la ventana de actualización, y no publica CVE para ninguno de los arreglos. Tampoco es una actualización forzada, como sí lo fue la 7.0.2 de julio: empieza sola en los sitios que tienen activas las actualizaciones automáticas en segundo plano.

¿Qué parche le toca a tu web si no está en la 7.1?

Si tu web sigue en una rama anterior, su parche ya está publicado desde el 28 de octubre de 2026 para todas las ramas de la 4.7 a la 7.0, según la documentación de la versión 7.1.4 en WordPress.org: 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16, 6.0.18, 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31, 4.9.35, 4.8.34 y 4.7.39. La 4.6 y anteriores no reciben parche. Aun con parche, WordPress recuerda que solo la versión más reciente tiene soporte activo.

¿Qué datos conviene guardar?

• 28 de octubre de 2026: WordPress publica la 7.1.4, versión de seguridad, y recomienda actualizar los sitios inmediatamente. Fuente: WordPress.org, anuncio de la 7.1.4 (el proyecto sobre su propio software).
• El fallo más grave: una debilidad del proceso de actualización que puede llevar a ejecución remota de código durante la ventana de actualización. Fuente: WordPress.org, anuncio de la 7.1.4, 28 de octubre de 2026.
• Ramas antiguas: parches ya publicados para todas las ramas de la 4.7 a la 7.0 (de la 7.0.8 a la 4.7.39); la 4.6 y anteriores no reciben parche. Fuente: WordPress.org, documentación de la versión 7.1.4, 28 de octubre de 2026.
• El ritmo: es la cuarta versión de la rama 7.1 en seis semanas: 7.1.1 (17 de septiembre), 7.1.2 (22 de septiembre), 7.1.3 (6 de octubre) y 7.1.4 (28 de octubre de 2026). Fuente: WordPress.org, anuncios de cada versión.

¿Qué tienes que hacer esta semana?

Si tu pyme tiene la web en WordPress, lo urgente es confirmar que ya está en la 7.1.4 o en el parche de su rama. Las más expuestas son las webs donde publican varias personas (con roles de Colaborador o Autor, o en multisitio), porque casi todos los XSS piden una cuenta con sesión en la web. Tres pasos:

1. Entrar al escritorio de WordPress y comprobar la versión. Si tiene activas las actualizaciones automáticas, confirmar que de verdad llegó a la 7.1.4, no darlo por hecho.
2. Si la web está en una rama antigua, actualizar al parche de esa rama; si está en la 4.6 o anterior, planear la migración, porque no hay parche.
3. No dejar una actualización a medias ni posponerla: el fallo grave vive justo en la ventana de actualización.

Lo que no cambia: no es una actualización forzada y el anuncio no pide tocar plugins ni tema. Quien actualice a la 7.1.4 cubre también la 7.1.2 y la 7.1.3.

¿Es un caso aislado?

No. Con la 7.1.4 van cuatro fallos de WordPress que pueden acabar en ejecución remota de código en poco más de tres meses: la 7.0.2 (17 de julio), la 7.0.4 (12 de agosto), la 7.1.2 (22 de septiembre) y la 7.1.4 (28 de octubre de 2026), según los anuncios de WordPress.org. Ejecución remota de código quiere decir que alguien podría llegar a correr sus propias instrucciones en el servidor de tu web: en la 7.1.2, sin necesidad de cuenta; en la 7.0.4, con una cuenta de autor.

La conclusión práctica es seria: una web en WordPress necesita a alguien que la actualice y la revise cada semana, no cuando llega un aviso. Si en tu empresa nadie puede asumir esa tarea, vale la pena plantearse otra base para la web; en Astro vs WordPress comparamos las dos opciones para una pyme.

En Rigol&Co podemos revisar contigo en qué versión está tu web y actualizarla sin romper nada, o ayudarte a pasarla a una base que no dependa de parches cada pocas semanas.