Fallo crítico en WordPress: atacado a las pocas horas del parche

El 22 de septiembre, WordPress publicó la versión 7.1.2 para corregir un único fallo de seguridad en el núcleo del sistema, el identificado como CVE-2026-87902. No hacía falta iniciar sesión para aprovecharlo, y los ataques empezaron ese mismo día. Si tu web funciona con WordPress, conviene revisar hoy mismo qué versión tiene instalada.

Qué ha pasado

El fallo está en la parte de WordPress que decide qué plantilla de página mostrar. Un atacante sin cuenta en el sitio puede engañarla para que cargue un archivo PHP que está fuera de la carpeta del tema. Con ciertas configuraciones de servidor, eso termina en ejecución remota de código: el atacante puede ejecutar sus propias órdenes en tu servidor.

• Versiones afectadas: todas desde la 4.7.0 hasta la 7.1.1.
• Versiones corregidas: 7.1.2, y parches equivalentes para ramas anteriores (7.0.6, 6.9.9, 6.8.10 y así hasta la 4.7.37). Las versiones 4.6 y anteriores ya no reciben parches.
• Gravedad: el aviso de WordPress la califica como crítica (9,2 sobre 10). La agencia de ciberseguridad de EE. UU. (CISA) la incluyó el 25 de septiembre en su catálogo de vulnerabilidades explotadas activamente.

La empresa de seguridad CrowdSec detectó el primer intento de ataque a las pocas horas de publicarse el parche, y para el 28 de septiembre había registrado más de 30.000 direcciones IP distintas probando el fallo. Es el patrón habitual: los atacantes estudian el parche para saber exactamente qué atacar y van a por las webs que todavía no se han actualizado.

Qué significa para tu negocio

La ejecución remota de código completa no es posible en todos los servidores: requiere una combinación concreta de configuración de PHP y del tema. Pero eso no es motivo para esperar, por dos razones:

1. No sabes cómo está configurado tu servidor a menos que lo hayas revisado. Muchos alojamientos compartidos usan configuraciones por defecto que cumplen parte de esas condiciones.
2. Los ataques son automáticos. Nadie elige tu web a mano: hay programas que recorren internet buscando cualquier WordPress sin actualizar. Una pyme es tan objetivo como una gran empresa.

Una web comprometida puede acabar redirigiendo a tus clientes a páginas fraudulentas, enviando spam desde tu dominio o marcada como peligrosa por Google, con la caída de visitas y de confianza que eso supone.

Qué recomendamos hacer

1. Comprueba tu versión ahora. En el panel de WordPress, ve a Escritorio → Actualizaciones. Tienes que ver la 7.1.2 o la versión corregida de tu rama.
2. Si no está actualizada, actualiza hoy. WordPress instala por defecto las actualizaciones menores de seguridad, pero muchos sitios tienen esa opción desactivada o la gestiona el proveedor de alojamiento. No des por hecho que ya está hecho.
3. Haz una copia de seguridad antes, por si algún plugin antiguo da problemas tras la actualización.
4. Si tu WordPress es anterior a la 4.7, migra. Ya no recibe parches y seguirá expuesto a este y a futuros fallos.
5. Revisa si hubo actividad sospechosa desde el 22 de septiembre: usuarios administradores que no reconoces, archivos PHP nuevos o cambios en el contenido.

En resumen

Es un fallo grave, fácil de atacar y que ya se está explotando a gran escala. La solución es sencilla: actualizar WordPress. Si no sabes cómo hacerlo o no tienes claro si tu web está afectada, escríbenos y lo revisamos contigo.