WordPress 7.1.2 corrige un fallo crítico que ya se está explotando: cómo actualizar
WordPress ha publicado una actualización de seguridad para corregir CVE-2026-87902. El fallo puede permitir ejecutar código en servidores con determinadas configuraciones y ya figura en el catálogo de vulnerabilidades explotadas de CISA.
- Noticia
- Confirmado
- Publicada el
- 2 minutos de lectura
Lo esencial
- WordPress 7.1.2 corrige CVE-2026-87902, valorada con 9,2 sobre 10 en CVSS 4.0.
- Un atacante sin cuenta puede aprovechar la resolución de plantillas; la ejecución de código exige condiciones adicionales en el tema y el servidor.
- CISA añadió el fallo a su catálogo de vulnerabilidades explotadas el 25 de septiembre de 2026.
- Comprueba la versión instalada en Escritorio → Actualizaciones; hay correcciones para ramas antiguas hasta la 4.7.
- 9,2/10Gravedad de CVE-2026-87902 en CVSS 4.0
- 7.1.2Versión actual de WordPress con la corrección
Si tienes una web con WordPress, comprueba que ya está al día. La actualización 7.1.2, publicada el 22 de septiembre de 2026, corrige una vulnerabilidad crítica del propio gestor de contenidos: CVE-2026-87902. El catálogo KEV de CISA la incorporó el 25 de septiembre porque se ha observado su explotación.
Qué permite el fallo y cuándo llega a ser grave
El aviso técnico de WordPress explica que una persona sin cuenta puede manipular la búsqueda de la plantilla de una página para incluir un archivo PHP local legible fuera de las carpetas del tema. La ejecución remota de código exige dos condiciones más: que el tema activo, o su tema padre, tenga una carpeta de nivel superior cuyo nombre empiece por page-, y que en el servidor exista un archivo PHP adecuado y legible.
WordPress cita los temas Twenty Twelve, Twenty Fourteen, Neve, Hestia y Sydney entre los que cumplen la primera condición. Para una de las rutas posibles hacia la ejecución de código también importan ajustes de PHP, como register_argc_argv. Se cumplan o no, WordPress recomienda actualizar de inmediato. La gravedad asignada en CVSS 4.0 es 9,2 sobre 10.
Qué versión necesitas
La corrección también llega a ramas anteriores. Si sigues en una de ellas, esta es la versión que necesitas:
| Rama instalada | Versiones vulnerables de esa rama | Primera versión corregida |
|---|---|---|
| 7.1 | 7.1.0 y 7.1.1 | 7.1.2 |
| 7.0 | 7.0.0 a 7.0.5 | 7.0.6 |
| 6.9 | 6.9.0 a 6.9.8 | 6.9.9 |
| 6.8 | 6.8.0 a 6.8.9 | 6.8.10 |
| 4.7 | 4.7.0 a 4.7.36 | 4.7.37 |
El listado completo de versiones llega hasta la rama 4.7. WordPress recuerda que solo mantiene activamente la rama más reciente: lo recomendable es pasar a la 7.1.
En el panel de tu web, entra en Escritorio → Actualizaciones y comprueba el número de versión. Si hay una actualización disponible, usa Actualizar ahora. Las webs con actualizaciones automáticas la reciben solas, pero conviene confirmar que se ha instalado. Si el sitio lo gestiona un proveedor, pídele que confirme la versión instalada y la aplicación del parche.
También el centro canadiense de ciberseguridad recogió los informes de explotación y la incorporación al catálogo el 25 de septiembre. CISA dio a las agencias federales de EE. UU. hasta el 28 de septiembre para corregirlo: tres días.