Septiembre no nos ha dado tregua: además del goteo habitual de fallos en plugins, WordPress ha tenido que parchear un fallo crítico en su propio núcleo (CVSS 9.2) que afecta a todas las versiones desde la 4.7. Y a las pocas horas del parche ya había bots tanteando webs. Te lo resumimos sin dramas y con lo que tienes que hacer.
Lo que ha pasado este septiembre en cifras
Solo en la primera semana del mes (31 de agosto al 6 de septiembre), Wordfence Intelligence registró 277 vulnerabilidades nuevas en 187 plugins y 7 temas. Es el ritmo normal de un ecosistema enorme: casi todo el riesgo sigue viniendo de los plugins, no de WordPress en sí.
Los datos acumulados de Patchstack apuntan en la misma dirección: el 88% de los fallos están en plugins, el XSS sigue siendo el tipo más frecuente y casi 1 de cada 4 vulnerabilidades no tiene parche disponible. La novedad del mes es que esta vez también le ha tocado al núcleo.
Vulnerabilidades destacadas del mes
- WordPress core (CVE-2026-87902, CVSS 9.2). Un fallo de path traversal en la selección de plantillas permite a un atacante sin login incluir archivos PHP del servidor. En ciertas configuraciones (un tema con una carpeta que empiece por “page-” y PHP con register_argc_argv activo, algo habitual en Docker y cPanel) puede acabar en ejecución de código. Está corregido en WordPress 7.1.2 y en todas las ramas soportadas, hasta la 4.7.37. Patchstack detectó los primeros sondeos menos de cinco horas después del parche.
- The Events Calendar (CVE-2026-78006 y CVE-2026-78159, CVSS 9.8). Dos fallos críticos en un plugin con más de 600.000 instalaciones. Permiten tomar el control de la web sin autenticación a través de comentarios en páginas de eventos, cuando los comentarios están activos. Corregido en la versión 6.17.4.1. Más detalles aquí.
- All-in-One WP Migration (CVE-2026-19949, CVSS 8.8). Una inyección SQL de segundo orden que se dispara al exportar o restaurar una copia y que puede abrir la puerta a ejecución de código. Hay prueba de concepto pública y, a principios de mes, unos 3,25 millones de webs seguían en versiones vulnerables. Corregido en la 7.110. Análisis completo.
Qué puedes hacer hoy mismo
- Comprueba tu versión de WordPress. Las actualizaciones menores suelen aplicarse solas, pero no lo des por hecho: entra en Escritorio y Actualizaciones y confirma que estás en 7.1.2 (o en el parche de tu rama).
- Si usas The Events Calendar, actualiza a 6.17.4.1 o superior. Si no puedes hacerlo ya, desactiva los comentarios en los eventos mientras tanto.
- Si tienes All-in-One WP Migration, actualiza a 7.110 antes de hacer tu próxima copia o migración. Y si no lo usas, desinstálalo.
- Haz limpieza de plugins. Cada plugin que no usas es una puerta que alguien tiene que vigilar. Menos plugins, menos superficie de ataque.
- Revisa que tus copias de seguridad funcionan. No basta con tenerlas: prueba a restaurar una de vez en cuando.
Parchear rápido marca la diferencia: este mes el margen entre el parche y los primeros ataques ha sido de horas, no de días. Si prefieres que alguien vigile eso por ti cada día, en BlindajeWeb lo hacemos → https://blindajeweb.com/
