WordPress
WordPress 7.1.4: actualización de seguridad urgente (22 fallos corregidos)
WordPress 7.1.4 es parche de seguridad obligatorio: 22 correcciones, XSS en bloques e Interactivity API y un fallo grave en la ventana de actualización. Qué hacer hoy.
7 min restantes
WordPress ha publicado 7.1.4, una actualización de seguridad con 22 correcciones: varios XSS almacenados y un escenario de ejecución remota de código mientras se actualiza el core. WordPress.org pide actualizar de inmediato. Si tu sitio no está en 7.1.4 (o en el backport de tu rama), empieza por aquí.
Ve al escritorio: Panel → Actualizaciones → Actualizar ahora. Hazlo antes de instalar betas de WordPress 7.2 en la web que te factura.
Si lo que buscas son novedades de funciones (IA, editor, Notes), tienes la guía WordPress 7.1: qué hay de nuevo. Aquí solo hablamos de seguridad.
Fuentes: anuncio en español y notas de la versión 7.1.4 (WordPress.org).
Por qué WordPress 7.1.4 no es opcional
La 7.1.4 (28–29 de octubre de 2026) es un release de ciclo corto: no trae pantallas nuevas ni bloques extra, solo parches. WordPress lo clasifica como security release y la recomendación oficial es actualizar de inmediato.
Si tu web corre en 7.1.3 o inferior dentro de la rama 7.1, el destino es 7.1.4. Quedarte atrás deja abiertos fallos con exploit documentado en el ecosistema (XSS almacenados, filtraciones, endurecimiento del core).
WordPress 7.2 llega el 8 de diciembre de 2026. Eso no sustituye este parche: primero cierras huecos; el salto mayor lo planificas cuando 7.1.4 esté estable.
El fallo que más debe preocuparte: actualizar sin blindaje
El caso más grave de esta tanda es una condición de carrera durante la actualización del core: en la ventana en la que WordPress sustituye archivos, un atacante con las condiciones adecuadas podría conseguir ejecución remota de código (informe responsable: Umut Bayram).
En la práctica no significa «cualquiera te hackea al entrar en la home». Significa que cómo actualizas importa:
- Haz una copia de archivos y base de datos antes de pulsar actualizar.
- Preferiblemente prueba el mismo salto en staging.
- No interrumpas el proceso (timeout del navegador, cierre del FTP a medias).
- Evita actualizar el core en hora punta de ventas si no tienes plan de vuelta atrás.
Actualizar te protege a largo plazo, pero el proceso en sí era el punto débil de este fallo. Ve a 7.1.4 cuanto antes y hazlo con copia, sin interrupciones y fuera de la hora punta si puedes.
Interactivity API y bloques en WordPress 7
Desde WordPress 7 muchos temas y plugins usan la Interactivity API (bloques con comportamiento en el front, atributos data-wp-*, router cliente). Esta actualización de seguridad cierra varios XSS almacenados y problemas de denegación de servicio en esos bindings.
Si alguien con permiso de Colaborador o superior puede publicar bloques interactivos maliciosos, antes podía dejar código que se ejecuta cuando un visitante o un admin interactúa con la página. Los parches endurecen validaciones en URLs javascript:, manejadores de eventos, contextos y rutas del router.
También se corrige un caso donde el contenido de una entrada podía solapar datos de Script Modules repitiendo un id de elemento, y otro donde elementos object en bindings podían cargar páginas de administración (Contributor+).
Instala 7.1.4, limita cuentas de Colaborador, no des acceso de edición a quien no lo necesite y revisa plugins interactivos sin mantenimiento reciente.
Personalizador, privacidad y Notes
Personalizador (Customizer)
Si tu tema clásico aún usa el Personalizador, dos correcciones te afectan directamente: XSS en la actualización selectiva (Contributor+) y una filtración de información que permitía a visitantes no logueados ver cambios de personalización no publicados (Antonio Lorensius Silaban). No es solo estética: es filtrar borradores de diseño antes de publicarlos.
Pantalla de privacidad (RGPD)
En las solicitudes de borrado de datos personales, peticiones mal formadas podían provocar XSS almacenado en pantallas de Editor o superior (Anthropic). Si gestionas borrados desde WordPress, actualizar cierra ese vector.
Notes y permisos
Las Notes del editor (comentarios internos en entradas) tenían un fallo de permisos: roles que moderan comentarios podían leer, editar o borrar notas en entradas que no pueden editar (Ramon, equipo de seguridad de WordPress). Si usas Notes con equipos mixtos, el parche es obligatorio.
En multisite, además, se endurece la visualización de nombres de usuario en pantallas de red (Anthropic).
Resumen por tipo de riesgo
| Área | Gravedad | Quién puede explotarlo (mínimo) | Qué hacer |
|---|---|---|---|
| Actualización del core (RCE) | Alta | Atacante con ventana durante el upgrade | Sube a 7.1.4; copia + staging; no cortes el proceso |
| Interactivity API (XSS / DoS) | Alta | Contributor+ / Author+ | 7.1.4; revisa roles y plugins interactivos |
| Bloques (Categorías, paginación comentarios, Imagen, Playlist) | Media–Alta | Contributor+ según bloque | 7.1.4; evita markup raro en bloques copiados de terceros |
| Personalizador no publicado | Media | Visitante anónimo | 7.1.4; publica o descarta cambios pendientes |
| Privacidad / borrado de datos | Media | Editor+ (XSS vía petición) | 7.1.4; solo personal de confianza en herramientas RGPD |
| Notes | Media | Roles con moderación de comentarios | 7.1.4; revisa permisos de equipo |
| Certificados raíz (eMudhra) | Media | Conexiones salientes del core | 7.1.4; hosting con TLS al día |
En total son 22 vulnerabilidades abordadas en esta release (listado completo en WordPress.org).
¿Debes ir a 7.1.4 u otra versión?
Depende de dónde estés hoy:
- Rama 7.1.x (recomendada): instala 7.1.4.
- Rama 7.0.x: WordPress publicó 7.0.8 con los mismos 22 parches; aun así, migrar a 7.1.4 cuando puedas te deja en la rama con soporte activo.
- 6.9.x: 6.9.11 (22/22). 6.8.x: 6.8.12 (20). 6.7.x: 6.7.11 (20). Versiones 6.5–6.4 reciben subset; 4.6 y anteriores ya no tienen parches.
La regla simple: solo la última versión de WordPress recibe soporte activo. Si tu hosting te deja en 6.x «porque funciona», estás acumulando riesgo. Detalle oficial: Version 7.1.4.
Calendario WordPress 7.2: qué viene después del parche
El mismo 28 de octubre de 2026 en que salió 7.1.4 se publicó WordPress 7.2 Beta 3, ya con estos parches integrados. Las betas sirven para probar, no para sustituir 7.1.4 en la tienda o la web corporativa en producción.
| Fecha (2026) | Hito |
|---|---|
| ~Agosto | Alpha 7.2 — desarrollo en trunk |
| 20 octubre | Beta 1 |
| 27 octubre | Beta 2 |
| 28 octubre | Beta 3 (mismo día que 7.1.4) |
| 3 noviembre | Beta 4 |
| 10 noviembre | Beta 5 |
| 17 noviembre | RC 1 — Field Guide, congelación de cadenas, rama de release |
| 24 noviembre | RC 2 |
| 1 diciembre | RC 3 |
| 7 diciembre | Ensayo general (dry run) y congelación de código 24 h |
| 8 diciembre | Lanzamiento WordPress 7.2 |
En la práctica: hoy 7.1.4; en diciembre valoras 7.2 con copia, checklist de plugins y pruebas de lo que te genera leads o ventas. No mezcles probar la beta con cerrar agujeros en la misma URL pública.
Checklist: actualizar a 7.1.4 sin romper la web
- Copia completa (archivos + base de datos). Comprueba que se puede restaurar.
- Si puedes, staging con la misma versión de PHP y los mismos plugins.
- Panel → Actualizaciones → core 7.1.4. Luego plugins y tema.
- Prueba: login, formulario de contacto, comentarios si los usas, WooCommerce (carrito, checkout, emails) si aplica.
- Revisa usuarios: ¿sigues necesitando cuentas Colaborador o de agencia?
- Documenta la versión final. Si algo falla, restaura la copia y pide ayuda antes de reintentar a ciegas.
En mantenimiento vemos a menudo el mismo patrón: el parche del core va bien, pero un plugin de formularios, SMTP o checkout queda desfasado y falla tras pulsar «Actualizar». Por eso insistimos en probar login, contacto y ventas nada más subir de versión, no solo comprobar que la home carga.
Montamos y mantenemos páginas web WordPress y tiendas WooCommerce. Si prefieres que actualicemos nosotros con pruebas incluidas, cuéntanos tu proyecto o usa el formulario de aviso de este artículo. Actualiza a 7.1.4 (o al backport de tu rama), verifica lo crítico y deja 7.2 para cuando tengas margen.
WordPress
¿Necesitas ayuda para actualizar o mantener tu WordPress?
Montamos y cuidamos páginas web WordPress y tiendas WooCommerce: actualizamos con copia, prueba en staging y paso a producción sin dejar la web colgada.
- Copia y staging antes de tocar producción
- Compatibilidad de tema y plugins
- Salto 6.x → 7.x con plan
- Formularios, login y medios revisados
- Parches de seguridad al día
- Mantenimiento continuo si lo necesitas
