WordPress 7.1.2 corrige un fallo crítico: qué webs están en riesgo y cómo actualizar

Actualizado el 7 de octubre de 2026: ya ha salido la 7.1.3, que corrige siete fallos más e incluye también el arreglo de este. Si vas a actualizar ahora, instala directamente la 7.1.3. Te lo contamos en WordPress 7.1.3 corrige siete fallos de seguridad.

WordPress publicó el 22 de septiembre de 2026 la versión 7.1.2. Trae una sola corrección, pero de gravedad crítica: 9,2 sobre 10. En las versiones anteriores, un atacante sin cuenta en la web puede, en determinadas condiciones, hacer que WordPress cargue un archivo de fuera del tema y acabar ejecutando código en el servidor. El equipo de WordPress pide actualizar de inmediato.

Llega cinco días después de la 7.1.1, que corregía once fallos, y es todavía más urgente: el agujero está en todas las versiones desde la 4.7, casi una década de WordPress.

Qué corrige la 7.1.2

Cada vez que alguien abre una página, WordPress decide qué plantilla del tema usar para mostrarla, y parte de esa decisión sale de la propia dirección que se visita. Ese dato no pasaba por la comprobación que WordPress aplica en otros puntos para frenar rutas tramposas, así que una dirección preparada podía llevarle a cargar —y, por tanto, a ejecutar— un archivo PHP que ya estuviera en el servidor, fuera de la carpeta del tema. En la jerga, un path traversal o recorrido de directorios.

La corrección va más allá de ese hueco concreto. Además de añadir la comprobación que faltaba, WordPress exige ahora que cualquier plantilla que cargue esté dentro de las carpetas del tema. Según el análisis de Patchstack, eso indica que el equipo de seguridad lo ha tratado como un tipo de problema y no como un fallo aislado.

No es el primero de la semana en esa zona. La 7.1.1 ya había cerrado otro recorrido de directorios en la parte de WordPress que gestiona las plantillas, del que avisó Anthropic, pero aquel exigía tener una cuenta en la web. Este no.

Lo descubrió el investigador Robert Ressl, que lo comunicó en privado a WordPress el 20 de julio a través de su programa en HackerOne. Ni el aviso oficial ni los análisis publicados hablan por ahora de ataques reales, pero desde el día 22 los detalles técnicos son públicos, y eso deja a la vista las webs que sigan sin actualizar.

Qué webs corren riesgo de verdad

Cargar un archivo ajeno es posible en cualquier WordPress sin actualizar. Que eso acabe en un ataque completo depende, según el aviso oficial, de que se cumplan dos condiciones a la vez:

• Un tema con una carpeta cuyo nombre empiece por «page-» en su primer nivel, como page-templates. Cuenta tanto el tema activo como su tema padre. El aviso cita los antiguos temas oficiales Twenty Twelve y Twenty Fourteen y temas populares como Neve, Hestia y Sydney.
• Un archivo PHP aprovechable en el servidor. La vía conocida usa pearcmd.php, un archivo de PEAR, cuando PHP tiene activada la opción register_argc_argv. Según el aviso, así vienen la imagen oficial de PHP para Docker y la configuración por defecto de cPanel con PHP anterior a la 8.5, y cPanel es el panel de muchos alojamientos compartidos.

Robert Ressl recuerda que el 9,2 mide lo grave que es el fallo cuando se dan esas condiciones, no cuántas webs las cumplen. Patchstack, en cambio, advierte de que esa configuración de PHP es bastante más habitual de lo que parece. Las dos cosas son ciertas, y la conclusión práctica es la misma: se actualiza y se sale de dudas.

Si no puedes actualizar ahora mismo

Hay dos comprobaciones que no arreglan nada, pero dicen lo cerca que estás del peor caso:

• En el administrador de archivos de tu alojamiento, entra en wp-content/themes/ y abre la carpeta de tu tema, y la del tema padre si usas uno hijo. Mira si hay alguna carpeta que empiece por page-.
• Mira tu versión de PHP en Herramientas → Salud del sitio → Información → Servidor, y pregunta a tu alojamiento si tiene activada register_argc_argv.

Cómo actualizar

• Mira primero qué versión tienes en Escritorio → Actualizaciones. Arriba del todo pone «Versión actual»: si dice 7.1.2, ya está.
• Lo normal es que ya se haya instalado sola. Si en esa pantalla aparece «Este sitio se mantiene al día automáticamente solo con las versiones de mantenimiento y seguridad de WordPress», WordPress instala estas correcciones por su cuenta, en segundo plano.
• Si no, haz una copia de seguridad o comprueba que tu alojamiento tenga una reciente, y pulsa Actualizar ahora.
• Comprueba después tres cosas: que la portada carga, que un artículo se ve bien y que el editor de entradas abre sin errores.

Si tu web sigue en una rama anterior, no hace falta que saltes a la 7.1: WordPress ha publicado la misma corrección para todas las ramas desde la 4.7. Estas son las de los últimos años:

Si tu web está en la rama…	Actualiza a…
7.1	7.1.2
7.0	7.0.6
6.9	6.9.9
6.8	6.8.10
6.7	6.7.9
6.6	6.6.9
6.5	6.5.12

Eso sí, WordPress recuerda que solo la versión más reciente tiene soporte activo: el parche para las ramas antiguas es una cortesía. Si tu web lleva años sin salir de una de ellas, tienes el paso a paso para ponerla al día en la guía que escribimos con la última vulnerabilidad crítica.

---

Fuentes

• WordPress.org: WordPress 7.1.2 Release (anuncio oficial)
• WordPress.org en español: WordPress 7.1.2, actualización de seguridad
• Documentación de WordPress: Versión 7.1.2
• GitHub: Aviso de seguridad GHSA-7hp8-65ch-5whp (CVE-2026-87902)
• Robert Ressl: CVE-2026-87902, explicado por quien lo descubrió
• Patchstack: Análisis técnico de la 7.1.2