WordPress publicó la versión 7.1.2 el 22 de septiembre de 2026 como una actualización de seguridad. El equipo del proyecto recomienda actualizar de inmediato porque corrige una vulnerabilidad clasificada como crítica que, bajo determinadas condiciones, podía permitir a un atacante no autenticado incluir un archivo PHP local legible fuera de los directorios del tema activo y, si además se cumplían ciertas condiciones del servidor y del tema, llegar a ejecución remota de código.
La recomendación práctica es sencilla: si administras un sitio WordPress, comprueba la versión instalada y aplica la actualización correspondiente cuanto antes. No hace falta esperar a ver síntomas de ataque para actuar.
Qué corrige WordPress 7.1.2
Según el anuncio oficial de WordPress 7.1.2, la actualización incluye una corrección de seguridad de gravedad crítica. El problema afectaba a la forma en que WordPress resolvía determinadas plantillas de página.
El advisory oficial del proyecto en GitHub identifica la vulnerabilidad como CVE-2026-87902 y explica que un atacante sin autenticarse podía, bajo condiciones específicas, hacer que la resolución de plantillas incluyera un archivo PHP local legible situado fuera del directorio del tema.
Eso no significa que cualquier instalación vulnerable pudiera ser comprometida automáticamente. Para escalar el problema hasta ejecución remota de código debían coincidir condiciones adicionales relacionadas con el tema activo y el entorno del servidor. Aun así, WordPress la clasifica como crítica y recomienda actualizar inmediatamente.
Qué versiones están afectadas
La rama 7.1 estaba afectada hasta WordPress 7.1.1. La corrección llegó en WordPress 7.1.2. El equipo de seguridad también publicó backports para ramas anteriores que todavía recibían correcciones de seguridad.
Por ejemplo, el advisory oficial lista como versiones corregidas, entre otras:
- WordPress 7.1.2
- WordPress 7.0.6
- WordPress 6.9.9
- WordPress 6.8.10
- versiones corregidas de ramas anteriores hasta la serie 4.7
La propia documentación de WordPress recuerda que solo la versión más reciente recibe soporte activo normal; los backports de seguridad a ramas antiguas se ofrecen como cortesía. Por eso, si tu sitio puede actualizarse a la rama actual sin incompatibilidades, conviene planear esa actualización y no depender indefinidamente de una versión antigua.
Cómo saber qué versión de WordPress tienes
Desde el escritorio de WordPress puedes revisar la versión instalada en Escritorio → Actualizaciones. También suele aparecer en la pantalla de información del sistema o en herramientas de administración del hosting.
Si administras varios sitios, no revises únicamente el sitio principal. Es común encontrar instalaciones secundarias, subdominios, sitios de pruebas o WordPress antiguos que siguen accesibles desde Internet y no reciben el mismo mantenimiento.
Qué hacer antes de actualizar
Aunque se trate de una actualización de seguridad importante, conviene aplicar una rutina básica para reducir el riesgo operativo.
1. Comprueba que exista un respaldo reciente
Antes de modificar el core, confirma que tienes una copia de seguridad utilizable de archivos y base de datos. No basta con que el hosting diga “backups activos”: debes saber de qué fecha es la copia y cómo restaurarla.
2. Revisa plugins y tema
Comprueba si existen actualizaciones pendientes de plugins y del tema. Un WordPress actualizado con extensiones abandonadas sigue siendo un sitio con superficie de riesgo.
3. Si el sitio es crítico, prueba primero en staging
Para tiendas online, sitios corporativos con integraciones o páginas que no pueden detenerse, una copia de staging permite detectar incompatibilidades antes de actualizar producción.
4. Verifica la versión de PHP y el entorno
El advisory de WordPress señala que las condiciones del servidor influyen en la posibilidad de escalar esta vulnerabilidad. Mantener PHP actualizado y revisar la configuración del hosting forma parte de la seguridad general, aunque la medida principal para este caso sigue siendo actualizar WordPress.
Cómo actualizar a WordPress 7.1.2
Si tu instalación utiliza la rama 7.1, puedes actualizar desde:
Escritorio → Actualizaciones → Actualizar ahora
WordPress también indica que los sitios compatibles con actualizaciones automáticas en segundo plano pueden iniciar el proceso automáticamente. Aun así, conviene comprobar manualmente el resultado y no asumir que todos los sitios se actualizaron.
La página oficial de WordPress 7.1.2 confirma que el único archivo del core revisado por esta actualización es wp-includes/template.php.
Qué revisar después de actualizar
Una actualización de seguridad no termina cuando aparece el mensaje “WordPress actualizado”. Haz una revisión rápida del sitio:
- abre la página principal y varias páginas internas;
- prueba formularios de contacto;
- revisa el área de administración;
- comprueba que el tema y el constructor visual funcionen correctamente;
- si tienes ecommerce, prueba carrito, checkout y acceso de clientes;
- vacía las cachés del sitio, servidor y CDN cuando corresponda;
- confirma nuevamente la versión instalada.
Si utilizas un servicio de hospedaje web administrado, este tipo de actualización debería formar parte del mantenimiento periódico junto con respaldos, monitoreo y revisión de seguridad.
¿Actualizar WordPress es suficiente?
Para corregir esta vulnerabilidad del core, instalar una versión corregida es la acción principal. Pero la seguridad de un sitio WordPress depende también del resto del entorno.
Después de actualizar conviene revisar:
- plugins sin mantenimiento o que ya no utilizas;
- temas inactivos innecesarios;
- cuentas de administrador que ya no deberían existir;
- versiones antiguas de PHP;
- copias de WordPress olvidadas en subdirectorios o subdominios;
- registros y alertas de seguridad del hosting o firewall.
Si sospechas que un sitio ya pudo haber sido comprometido, una simple actualización no sustituye una revisión. En ese caso conviene seguir un proceso de diagnóstico y limpieza como el que explicamos en nuestra guía sobre qué hacer si tu sitio web fue hackeado.
Una diferencia importante frente a WordPress 7.0.2
Esta no es la primera actualización crítica de WordPress en 2026. En julio explicamos la actualización de seguridad WordPress 7.0.2, que corregía vulnerabilidades diferentes.
WordPress 7.1.2 no reemplaza aquel aviso: corrige un problema nuevo en la resolución de plantillas. Esto refuerza una idea práctica para cualquier negocio: mantener WordPress actualizado no es una tarea puntual, sino un proceso continuo.
Qué recomendamos revisar hoy
Comprueba la versión de todos tus sitios WordPress, confirma que estén en una versión corregida y revisa que las actualizaciones automáticas realmente hayan terminado correctamente. Si administras sitios antiguos, no des por hecho que “como todavía funcionan” siguen siendo seguros.
Para negocios que prefieren delegar esta parte, en Plataforma Web podemos encargarnos del mantenimiento técnico dentro de nuestro servicio de hospedaje web administrado, incluyendo actualizaciones, respaldos y soporte para WordPress.
