WordPress ha lanzado la versión 7.1.2 para solucionar una vulnerabilidad de seguridad crítica (CVE-2026-87902) que permitiría a atacantes no autenticados ejecutar código en sitios web vulnerables bajo ciertas condiciones. Se recomienda a los administradores actualizar inmediatamente, ya que el fallo no requiere que el atacante haya iniciado sesión ni posea una cuenta válida.

WordPress ha lanzado la versión 7.1.2 para solucionar una vulnerabilidad de seguridad crítica que podría permitir a atacantes no autenticados ejecutar código en sitios web vulnerables bajo condiciones específicas.

• https://wordpress.org/news/2026/09/wordpress-7-1-2-release/

Si eres administrador del sitio, debes actualizar inmediatamente porque una explotación exitosa podría no requerir que los atacantes inicien sesión o tengan una cuenta válida de WordPress.

El fallo está registrado como CVE-2026-87902 y afecta a la resolución de plantillas de página de WordPress, un mecanismo central que determina qué archivo de plantilla PHP renderiza la página solicitada.

El investigador de seguridad Robert Ressl informó responsablemente del problema al equipo de seguridad de WordPress. La vulnerabilidad puede permitir que un atacante remoto influya en la resolución de la plantilla y haga que WordPress incluya un archivo PHP local legible ubicado fuera del directorio del tema activo.

En circunstancias normales, se espera que WordPress cargue plantillas de página solo desde ubicaciones de temas confiables. La vulnerabilidad crea una ruta que puede permitir a un atacante seleccionar un archivo PHP local que no debería estar disponible a través del proceso de renderizado del tema.

Vulnerabilidad del Núcleo de WordPress

Si la configuración del servidor afectado y el tema activo de WordPress cumplen con las precondiciones requeridas, incluyendo un archivo PHP local elegido, puede resultar en la ejecución remota de código. Esto significa que un atacante podría potencialmente ejecutar código PHP malicioso en el servidor web subyacente sin autenticarse en el sitio de WordPress.

Las vulnerabilidades de ejecución remota de código se encuentran entre los problemas más graves que afectan a los sistemas de gestión de contenidos. Un ataque exitoso podría permitir a los actores de amenazas desplegar shells web, robar credenciales de bases de datos, modificar el contenido del sitio web, crear cuentas de administrador, redirigir visitantes, distribuir malware o usar el servidor comprometido para atacar otros sistemas.

El lanzamiento de seguridad no indica que todas las instalaciones de WordPress sean explotables. La explotación depende del entorno del servidor, el tema activo y si existen archivos PHP legibles relevantes fuera de los directorios del tema activo.

Sin embargo, el ataque no requiere autenticación, lo que convierte a los sitios expuestos y no parcheados en un objetivo de alta prioridad para el escaneo automatizado de internet y la explotación oportunista.

WordPress recomienda que actualices todos tus sitios a la versión 7.1.2 inmediatamente. Puedes descargar el paquete más reciente desde el sitio web oficial de WordPress o instalar la actualización a través del Panel de Control de WordPress seleccionando Actualizaciones y haciendo clic en Actualizar ahora. Los sitios configurados para actualizaciones automáticas en segundo plano pueden recibir el parche automáticamente.

La corrección de la vulnerabilidad también ha sido retroportada a las ramas de WordPress elegibles para correcciones de seguridad, extendiéndose actualmente hasta la versión 4.7. Aunque esto ofrece una vía de mitigación para implementaciones más antiguas, WordPress señaló que solo la versión más reciente cuenta con soporte activo.

Debes verificar que las actualizaciones se completaran con éxito, confirmar que todos tus sitios estén ejecutando una versión parcheada y revisar los registros del servidor web y de WordPress en busca de solicitudes sospechosas relacionadas con rutas de plantillas, ejecución inesperada de PHP o usuarios administrativos creados recientemente. Tu equipo de seguridad también debería inspeccionar los temas activos y el código personalizado que modifique el comportamiento de selección de plantillas.

Si operas sitios de WordPress orientados al público, debes tratar la CVE-2026-87902 como un requisito de parcheo urgente. La combinación de acceso no autenticado y la potencial ejecución remota de código hace que la remediación rápida sea esencial para evitar el compromiso total del sitio y del servidor.