WordPress: RCE sin autenticación en el proceso de actualización del núcleo (corregido en 7.1.4)
WordPress 7.1.4 se lanzó el 28 de octubre de 2026 con correcciones para 22 vulnerabilidades de seguridad. La más grave es una condición de carrera sin autenticación en el proceso de actualización del Core que puede provocar la ejecución remota de código. Wordfence informa de intentos de explotación tras el lanzamiento.
Revisado en Shield: sí
Quién está afectado
La fuente no especifica las versiones afectadas. Los sitios con WordPress que no estén en la 7.1.4 deben considerarse potencialmente expuestos.
Cómo comprobar
En el área de administración, abre Escritorio → Actualizaciones y revisa tu versión actual de WordPress. Confirma que sea la 7.1.4 y que las actualizaciones automáticas realmente se aplicaron.
Cómo corregirlo
Hay un parche disponible: actualiza WordPress a la versión 7.1.4. Si no se instaló automáticamente, aplícalo manualmente lo antes posible.
Qué comprueba Shield gratis
Shield obtiene la versión de WordPress de la etiqueta meta generator, del ?ver= de los archivos del núcleo o del feed /feed/ y la compara con 7.1.4 y con las versiones corregidas de ramas anteriores (7.0.8, 6.9.11 y otras). Si tu versión es menor, el informe mostrará un hallazgo. Gratis, en cada análisis. Si la versión está oculta en todas partes, Shield no la adivina: revísala en tu panel de administración.
Conviene saber
Los ID de CVE, el rango de versiones afectadas y los detalles técnicos aún no se han divulgado; fuente: blog de Wordfence.
