La actualización WordPress 7.1.2 soluciona el fallo CVE-2026-87902, con una puntuación CVSS de 9,2. No requiere autenticación y afecta a versiones desde la 4.7.0 hasta la 7.1.1.
WordPress ha publicado una actualización de seguridad urgente para corregir una vulnerabilidad crítica en el núcleo del gestor de contenidos que puede permitir a un atacante no autenticado incluir archivos PHP locales fuera de los directorios permitidos del tema activo y, bajo determinadas condiciones, llegar a ejecutar código en el servidor.
El fallo está identificado como CVE-2026-87902, tiene una puntuación CVSS 9,2 sobre 10 y afecta a todas las versiones comprendidas entre WordPress 4.7.0 y 7.1.1. La corrección principal llega con WordPress 7.1.2, publicada el 22 de septiembre.
WordPress pide actualizar inmediatamente
El propio equipo de seguridad de WordPress califica la vulnerabilidad como crítica y recomienda actualizar los sitios sin demora.
La versión 7.1.2 contiene una única corrección de seguridad y puede instalarse desde el panel de administración de WordPress. Los sitios con actualizaciones automáticas en segundo plano activadas deberían iniciar el proceso de forma automática.
La vulnerabilidad fue comunicada de forma responsable por el investigador Robert Ressl, según reconoce oficialmente WordPress.
El fallo permite incluir archivos PHP fuera del tema activo
El problema reside en el mecanismo utilizado por WordPress para resolver determinadas plantillas de página.
En las versiones vulnerables, bajo ciertas condiciones, un atacante remoto sin credenciales podía manipular esa resolución para hacer que WordPress cargara un archivo PHP local legible situado fuera de los directorios del tema activo.
Este tipo de vulnerabilidad se encuadra dentro de los fallos de inclusión local de archivos o LFI.
Por sí sola, la inclusión de un archivo PHP no significa necesariamente que un atacante pueda ejecutar cualquier código que desee. El impacto máximo depende de la configuración del servidor y del contenido de los archivos que puedan ser alcanzados.
En algunos servidores puede convertirse en ejecución remota de código
El escenario más grave aparece cuando coinciden determinadas condiciones del alojamiento y del tema utilizado.
WordPress confirma oficialmente que, si se cumplen las precondiciones relevantes tanto en el entorno del servidor como en el tema activo, la vulnerabilidad puede desembocar en ejecución remota de código o RCE.
Patchstack considera que el riesgo debe tratarse como crítico precisamente porque algunas configuraciones habituales pueden cumplir esas condiciones. La compañía cita, entre otros factores, ciertos entornos de PHP y determinados diseños de directorios utilizados por temas antiguos o de terceros.
El resultado potencial es especialmente serio: una ejecución de código podría permitir comprometer un sitio web con los privilegios que tenga asignados el proceso del servidor web.
No hace falta tener una cuenta en WordPress
Uno de los factores que elevan la gravedad del fallo es que no requiere autenticación.
Un atacante no necesita disponer previamente de una cuenta de administrador, editor, autor o suscriptor.
Patchstack clasifica el problema como una vulnerabilidad accesible de forma remota y sin privilegios previos, circunstancia reflejada también en la puntuación CVSS de 9,2.
La explotación completa, sin embargo, sigue dependiendo de las condiciones concretas del servidor.
Incluso WordPress 7.1.1 sigue siendo vulnerable
La urgencia de la actualización aumenta porque WordPress 7.1.1, publicada apenas cinco días antes, también está afectada.
WordPress 7.1.1 había llegado el 17 de septiembre como una actualización de mantenimiento y seguridad, pero CVE-2026-87902 es una vulnerabilidad distinta.
Por tanto, haber actualizado la semana pasada no significa que un sitio esté protegido frente a este nuevo fallo. El archivo oficial de versiones confirma que la 7.1.2 es la versión más reciente de la rama 7.1.
El parche llega también a versiones antiguas
WordPress ha retroportado la corrección a numerosas ramas antiguas.
Entre las actualizaciones publicadas figuran:
- 7.1.x → 7.1.2
- 7.0.x → 7.0.6
- 6.9.x → 6.9.9
- 6.8.x → 6.8.10
- 4.7.x → 4.7.37
La documentación oficial confirma que la corrección se ha llevado hasta WordPress 4.7, mientras que las ramas 4.6 y anteriores ya no reciben actualizaciones de seguridad.
Aunque existen parches para versiones antiguas, WordPress recuerda que solo la versión más reciente recibe mantenimiento activo completo, por lo que los administradores deberían plantearse también una actualización general de la plataforma.
El problema está en la resolución de plantillas
El fallo afecta al modo en que WordPress construye y valida determinados nombres de archivo relacionados con las plantillas de páginas.
Patchstack explica que una ruta generada desde datos procedentes de la solicitud web no recibía el mismo control de seguridad que otra ruta cercana del mismo código.
La actualización añade nuevas comprobaciones para impedir que una plantilla termine resolviéndose fuera de los directorios autorizados.
Por razones de seguridad, no es necesario reproducir los detalles técnicos necesarios para construir una solicitud maliciosa.
El tema activo también influye en la exposición
No todos los sitios presentan exactamente el mismo riesgo práctico.
Según Patchstack, el impacto depende también de la estructura del tema activo. Algunos temas antiguos y determinados desarrollos de terceros pueden contener directorios compatibles con el escenario necesario para alcanzar archivos externos al tema.
Eso significa que dos instalaciones con la misma versión vulnerable de WordPress pueden tener niveles de exposición distintos.
Sin embargo, esa diferencia no convierte la comprobación del tema en una alternativa al parche. La recomendación sigue siendo actualizar.
Patchstack ya observa sondeos contra sitios WordPress
El escenario ha evolucionado rápidamente desde la publicación del parche.
Patchstack asegura haber detectado intentos de sondeo contra sitios WordPress apenas unas horas después de publicarse la actualización. La primera actividad registrada por la compañía fue observada el 22 de septiembre a las 17:44 UTC.
La empresa aclara que los intentos detectados inicialmente eran pruebas para comprobar si el fallo funcionaba, no ataques que estuvieran instalando directamente código malicioso.
Aun así, el dato demuestra lo poco que tardan los atacantes en analizar los cambios de seguridad publicados y comenzar a buscar instalaciones que continúen sin parchear.
De momento no equivale a una campaña masiva de compromiso
Conviene diferenciar entre actividad de reconocimiento y explotación completa.
Patchstack indica que las solicitudes detectadas apuntaban inicialmente a archivos normales ya presentes en instalaciones WordPress, utilizados probablemente para confirmar que el sitio seguía siendo vulnerable.
Eso no implica que todos los sitios que reciben esas solicitudes hayan sido comprometidos.
Sin embargo, una instalación que permaneciera vulnerable tras la publicación del parche debería revisar sus registros y buscar comportamientos anómalos, especialmente si existen evidencias de que una inclusión de archivos llegó a ejecutarse correctamente.
Qué deben hacer los administradores
La prioridad es instalar inmediatamente la versión corregida correspondiente a la rama utilizada.
WordPress no propone una solución alternativa equivalente al parche. La actualización puede realizarse desde Escritorio → Actualizaciones → Actualizar ahora, o mediante los mecanismos habituales de gestión de WordPress.
También es recomendable comprobar que la actualización automática se ha aplicado correctamente, revisar los registros recientes del servidor y confirmar que no existen archivos o modificaciones inesperadas.
Quienes administren múltiples instalaciones deberían priorizar primero los sitios expuestos directamente a Internet y aquellos que no cuenten con mecanismos adicionales de protección.
Un fallo especialmente delicado por el alcance de WordPress
La gravedad técnica de CVE-2026-87902 se combina con el enorme despliegue mundial de WordPress.
Una vulnerabilidad en el núcleo de la plataforma tiene potencial para afectar simultáneamente a una cantidad muy elevada de sitios, a diferencia de un fallo limitado a un único plugin poco utilizado.
El problema afecta además a casi una década de versiones, desde WordPress 4.7.0 hasta 7.1.1.
Ese alcance aumenta la probabilidad de que permanezcan instalaciones vulnerables durante semanas o meses, especialmente en sitios abandonados o con mantenimiento irregular.
La actualización 7.1.2 debe tratarse como prioritaria
La conclusión práctica es sencilla: WordPress 7.1.2 no es una actualización ordinaria.
Soluciona una vulnerabilidad sin autenticación que puede permitir inclusión local de archivos y, en determinadas configuraciones, ejecución remota de código.
Además, ya se han observado sondeos automatizados pocas horas después de hacerse público el parche.
Para los administradores de sitios WordPress, retrasar la instalación aumenta innecesariamente la ventana de exposición.
Chollones
Chollones
Chollones