WordPress 7.1.4: 5 pasos para proteger tu web hoy

WordPress 7.1.4 salió el 28 de octubre con 22 vulnerabilidades corregidas, y uno de esos fallos ya está recibiendo intentos de ataque. Si tu negocio depende de una web en WordPress, esto no es un aviso más: dedica unos minutos a confirmar que tu sitio se actualizó de verdad.

Qué corrige WordPress 7.1.4

El anuncio oficial de WordPress recomienda actualizar de inmediato. Según la documentación de la versión, la mayoría de los fallos son de tipo XSS almacenado: código malicioso que queda guardado en el sitio y se ejecuta cuando alguien abre esa página.

Casi todos exigen tener una cuenta con cierto rol, normalmente colaborador o superior. Por eso preocupan más en webs con varios usuarios, como medios, tiendas o sitios con redactores externos.

También hay un fallo que no pide ninguna cuenta para filtrar cambios del Personalizador aún sin publicar. Y luego está el más serio de todos, el que explica la urgencia.

El fallo que se ataca durante las actualizaciones

El problema está en el propio proceso de actualización del núcleo de WordPress. Durante unos segundos, los archivos de instalación quedaban en una carpeta temporal con nombre predecible dentro de wp-content/upgrade/.

Si esa ruta es accesible desde internet, un atacante sin cuenta podría llegar a esa copia y usarla para ejecutar código en el servidor. Es lo que se conoce como condición de carrera: tiene que acertar justo en ese intervalo.

Según Patchstack, el error viene de muy atrás: su origen se remonta a WordPress 2.8. Y según GBHackers, que cita a Wordfence, tiene una puntuación CVSS de 8,1.

La corrección añade 16 caracteres aleatorios al nombre de la carpeta, recrea su archivo index.php y evita que se copie wp-config.php, el archivo con la configuración del sitio.

Qué dicen los datos de ataques

Cyber Security News recoge cifras de Wordfence: 60.471 intentos bloqueados en 24 horas. Conviene leer ese número con calma, porque son intentos y no sitios comprometidos. Tampoco indica cuántas webs fueron objetivo.

Lo importante es otra cosa: los atacantes reaccionaron enseguida, y no conviene apostar a que tu sitio pase desapercibido.

Cómo comprobar si tu web ya está actualizada

WordPress avisa de que los sitios con actualizaciones automáticas en segundo plano empezarán solos, pero eso no garantiza que el proceso haya terminado bien. Compruébalo así:

Entra en tu panel de WordPress.
Ve a Escritorio > Actualizaciones.
Mira qué versión aparece y si queda algún aviso pendiente.

Si estás en la rama 7.1, necesitas la 7.1.4. Si tu sitio sigue en una rama anterior, WordPress publicó parches propios para cada una:

Tu rama	Versión con el parche
7.1	7.1.4
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7	6.7.11
6.6	6.6.11

La lista sigue hasta la 4.7.39, y puedes consultarla completa en la documentación oficial. Las versiones 4.6 y anteriores ya no reciben parches. Además, WordPress recuerda que solo la versión más reciente tiene soporte activo, así que quedarte en una rama antigua es una solución temporal.

Los 5 pasos para proteger tu sitio

Este es el orden que seguiríamos en cualquier web de cliente:

Haz una copia de seguridad. Usa la herramienta de tu hosting o un plugin de confianza, y confirma que incluya archivos y base de datos.
Actualiza WordPress. Pulsa “Actualizar ahora” en Escritorio > Actualizaciones. Si falla, hazlo desde el panel de tu hosting o pide ayuda a su soporte.
Revisa la web. Prueba la portada, los formularios, el proceso de compra si tienes tienda y el acceso al panel.
Bloquea wp-content/upgrade/. Patchstack aconseja impedir el acceso público a esa carpeta desde el servidor y confirmar que no se pueda listar. Si no gestionas el servidor, pídeselo a tu proveedor de hosting.
Busca señales raras. Revisa si hay administradores, plugins o archivos PHP que no reconozcas, y pide los registros del servidor para detectar peticiones a archivos PHP dentro de esa carpeta.

Revisa también quién tiene cuenta en tu web

Como la mayoría de estos fallos necesitan un usuario con rol de colaborador o superior, aprovecha para limpiar. Borra cuentas de exempleados y de proveedores que ya no trabajan contigo, y baja de rol a quien no necesite tantos permisos.

Por qué tu plugin de seguridad no basta

Un plugin de seguridad ayuda, pero aquí tiene límites. Patchstack explica que un firewall hecho en PHP no puede bloquear esta ruta, porque la copia extraída no carga los complementos que protegen tu sitio.

Además, según Cyber Security News, los clientes gratuitos de Wordfence no recibirán la regla de protección hasta el 27 de noviembre, por el retraso habitual de 30 días. Esperar a esa fecha sería dejar la puerta abierta casi un mes. La medida real es actualizar.

Qué esperar en los próximos meses

Esta actualización no será un caso aislado. El equipo de seguridad de WordPress contó que lanzó cuatro versiones de seguridad en 41 días, y que los reportes de fallos pasaron de unos 20 o 30 al mes a 773 solo en agosto.

La inteligencia artificial también entra en este trabajo. El propio equipo la usa para clasificar reportes y buscar fallos en el código, y 7.1.4 fue la primera versión con problemas detectados por el escáner de código abierto de Anthropic.

Para ti, la consecuencia práctica es sencilla: tendrás actualizaciones más frecuentes. Además, WordPress 7.2 está previsto para el 8 de diciembre, así que conviene tener una rutina en lugar de reaccionar a cada aviso:

Una revisión semanal de versiones, plugins y temas.
Copias automáticas guardadas fuera del servidor principal.
Una persona responsable, interna o externa, que sepa qué hacer cuando salga un parche urgente.
Un entorno de pruebas si tu web es una tienda o maneja pagos, para probar antes los cambios grandes.

¿Cómo te ayuda Codyas?

Si no tienes claro en qué versión está tu web, o la actualización se quedó a medias, podemos revisarla contigo. Nuestro servicio de hosting, mantenimiento y soporte mantiene tus plataformas al día y protegidas, y si vendes por internet también cuidamos de tu tienda online.

Pide una revisión de tu WordPress esta semana: visita www.codyas.com, escríbenos a info@codyas.com o llámanos al +1 (786) 941-6116.