WordPress 7.1.1 corrige 11 fallos de seguridad: esta sí se instala hoy
Actualizado el 24 de septiembre de 2026: ya ha salido la 7.1.2, que corrige un fallo crítico. Te lo contamos en WordPress 7.1.2 corrige un fallo crítico.
WordPress publicó hoy, 17 de septiembre de 2026, la versión 7.1.1. No trae novedades ni nombre de músico de jazz: es una actualización de seguridad y mantenimiento, y el propio equipo recomienda instalarla de inmediato.
Hace un mes contábamos que con la 7.1 «Mary Lou» lo sensato era esperar unos días antes de actualizar. Con esta pasa justo lo contrario, y conviene entender por qué no es una contradicción.
Qué trae la 7.1.1
- 11 correcciones de seguridad.
- 17 correcciones de errores en el núcleo de WordPress.
- 19 correcciones en el editor de bloques.
Y nada más. Ni bloques nuevos, ni cambios en el editor, ni funciones que reaprender. Esa es exactamente la diferencia entre una versión mayor y una de mantenimiento: la primera puede romperte algo porque cambia cosas; la segunda está ahí para tapar agujeros. Es el mismo criterio que apliqué con la actualización de Windows que corrigió más de 400 fallos: si es seguridad, no se deja para el fin de semana.
WordPress avisa además de que la 7.1.1 es una versión de ciclo corto y que la próxima versión grande será la 7.2, prevista para diciembre.
Los fallos que de verdad te pueden tocar
La lista oficial va en la jerga habitual, así que traduzco los que importan a quien tiene un blog normal y corriente:
- Código colado a través de los comentarios. Un visitante sin cuenta podía inyectar código aprovechando la función que da formato a los textos, aunque el comentario tenía que pasar por tu aprobación. Si tienes los comentarios abiertos, este es tu fallo.
- Código colado a través de la cabecera del tema. Afecta a los temas que permiten poner una imagen de cabecera personalizada, que son muchos.
- Enlaces manipulados que instalan un tema. Con una dirección preparada a mala idea se podía instalar y previsualizar automáticamente un tema del repositorio de WordPress.org que estuviera inactivo.
- Comentarios y notas manipulables por cualquier usuario registrado. Se podían cambiar de sitio, colgándolos de otra conversación. Da igual el rol: bastaba con tener la sesión iniciada.
- Filtraciones de contenido privado. Un colaborador podía ver el título de una entrada privada ajena y la dirección de borradores que aún no se han publicado.
- Acceso a archivos por una vía indebida en la parte de WordPress que gestiona las plantillas, y un salto de comprobaciones usando XML-RPC, el viejo sistema de publicación remota.
Conviene decir lo que no dice el anuncio: varios de estos fallos necesitan que el atacante tenga una cuenta en tu web, aunque sea de colaborador. Si eres la única persona registrada en tu sitio, el riesgo real es menor. Pero los dos primeros no piden cuenta ninguna, y la actualización cuesta un minuto, así que no hay mucho que debatir.
El detalle que no esperas en la lista: Anthropic
Entre quienes han avisado de los fallos están los nombres habituales del equipo de seguridad de WordPress y de empresas del sector. Pero hay dos avisos firmados por Anthropic, la empresa de inteligencia artificial que está detrás de Claude: el acceso indebido a archivos en el controlador de plantillas y la sobrescritura de entradas por parte de colaboradores.
El anuncio no explica cómo dieron con ellos, así que no voy a suponerlo. Pero que un laboratorio de IA aparezca reportando vulnerabilidades en el software que mueve media web, junto a investigadores de toda la vida, dice bastante de por dónde van las cosas.
Cómo actualizar sin sobresaltos
- Haz una copia de seguridad o comprueba que tu alojamiento tenga una reciente. Con una actualización de mantenimiento el riesgo es bajo, pero la copia es gratis y el disgusto no.
- Entra en Escritorio → Actualizaciones y pulsa Actualizar ahora. También puedes descargarla desde WordPress.org, pero desde el panel es más simple.
- Comprueba después tres cosas: que la portada carga, que un artículo se ve bien y que el editor de entradas abre sin errores.
- Si tu web admite actualizaciones automáticas en segundo plano, puede que ya se haya instalado sola. Mira la versión antes de ponerte.
Y si quieres dejar de estar pendiente, en esa misma pantalla puedes activar las actualizaciones automáticas solo para versiones de mantenimiento y seguridad. Es la opción más sensata para casi cualquier web: te llegan las correcciones sin esperar, y las versiones mayores las sigues decidiendo tú.
Si aún andas por una versión anterior, tienes el procedimiento completo en la guía que escribimos con la última vulnerabilidad crítica.
Raiola Networks, hosting para WordPress
Esta web está alojada en Raiola desde julio de 2026: empecé contratando un solo mes para probar, y me quedé. Lo que más valoro es que se esfuerzan en ayudar a sus clientes: tienen un canal de YouTube con cientos de tutoriales, organizan webinars de vez en cuando (el último, sobre cómo posicionarte en Google) y ahora mismo estoy haciendo su curso de cPanel. Un consejo de lo que aprendí: si lo tienes claro, contrata en pago anual y con el dominio incluido desde el principio. Pagar mes a mes sale más caro al año, y pasarse a anual después no tiene descuento.
Ver los planes de hosting de Raiola Enlace de afiliado: si contratas a través de él, bandaanchatech.com recibe una comisión sin coste adicional para ti. Recomiendo Raiola porque es donde tengo alojada esta web.