WordPress 7.1.4 es una actualización de seguridad publicada el 28 de octubre de 2026 que corrige 22 vulnerabilidades. La más seria es un fallo en el propio proceso de actualización que permite ejecutar código en el servidor, y ya se está intentando aprovechar: el 3 de noviembre, la agencia de ciberseguridad de Estados Unidos (CISA) lo añadió a su lista de fallos explotados. Si tu web tiene activas las actualizaciones automáticas, lo normal es que ya esté al día. Aun así, compruébalo: son cinco minutos y aquí tienes los pasos.
Y si todavía no has actualizado, hay un detalle importante: la propia actualización puede dejar la web expuesta unos segundos, así que antes conviene cerrar una carpeta. Te explicamos cómo más abajo. Ojo también porque esta versión no arregla los plugins ni el tema, ni protege a las webs que llevan años sin tocarse en una versión antigua.
Resumen:
- WordPress 7.1.4 salió el 28 de octubre de 2026 y corrige 22 fallos de seguridad. La recomendación oficial es actualizar de inmediato.
- El fallo más grave (CVE-2026-119977) está en el proceso de actualización: permite ejecutar código en el servidor sin tener cuenta, y hay intentos de ataque desde el mismo día del parche. La mayoría de los demás son fallos XSS que requieren una cuenta con permiso para escribir en la web.
- Si aún no has actualizado, pide antes a tu hosting que bloquee el acceso desde internet a la carpeta wp-content/upgrade. La actualización a 7.1.4 todavía se hace con el código antiguo y puede exponer la web una última vez.
- Las webs con las actualizaciones automáticas activas, que es la opción por defecto para las versiones de seguridad, se actualizan solas. Si la tuya lo hizo, revisa que no haya usuarios, plugins o archivos que no reconozcas.
- Si tu web está en una rama antigua, la corrección tiene otro número (por ejemplo, 7.0.8 o 6.9.11). Las versiones 4.6 y anteriores ya no reciben parches.
- La actualización no toca plugins ni tema, que es donde aparecen casi todos los fallos de seguridad de WordPress (el 91 % en plugins, según Patchstack). Revísalos también, igual que los usuarios con acceso a tu web.
Última actualización: noviembre de 2026
¿Qué es WordPress 7.1.4 y por qué conviene actualizar ya?
WordPress 7.1.4 es una versión «menor» de seguridad: no cambia el aspecto ni las funciones de tu web, solo cierra agujeros. Por eso actualizar es rápido y el riesgo de que algo se rompa es bajo.
Según el anuncio oficial de WordPress, del 28 de octubre de 2026, la versión trae varias correcciones de seguridad y se recomienda actualizar los sitios de inmediato. Además, la ficha técnica de la versión detalla 22 vulnerabilidades corregidas.
Para hacerse una idea de lo poco habitual que es: en todo 2025, la empresa de seguridad Patchstack contabilizó solo 6 vulnerabilidades en el núcleo de WordPress, según su informe sobre la seguridad de WordPress en 2026. En cambio, esta vez son 22 de golpe.
Y esta vez el riesgo no es teórico. El fallo más serio, registrado como CVE-2026-119977, permite a un atacante sin cuenta ejecutar código en el servidor aprovechando los segundos en que WordPress descomprime una actualización. La empresa de seguridad Wordfence detectó el primer intento de ataque minutos después del parche, y el 3 de noviembre la agencia de ciberseguridad de Estados Unidos (CISA) lo incluyó en su catálogo de vulnerabilidades explotadas, según The Hacker News. Además, ya circula en internet código que dice aprovecharlo.
¿Qué fallos corrige WordPress 7.1.4?
Corrige sobre todo dos tipos de problemas: uno en el sistema de actualizaciones y una larga lista de fallos XSS. XSS (cross-site scripting) significa que alguien consigue guardar código malicioso en tu web, que luego se ejecuta en el navegador de quien la visita o la administra. Con eso podría, por ejemplo, robar la sesión de un administrador.
| Qué se corrige | Quién podría aprovecharlo | Qué significa para tu negocio |
|---|---|---|
| Fallo en el proceso de actualización que permite ejecutar código en el servidor (CVE-2026-119977) | Cualquiera, sin cuenta, durante los segundos en que la web se actualiza | Es el fallo más serio y ya hay intentos de ataque: quien lo consiga puede tomar el control de la web |
| XSS en bloques (Categorías, Imagen, Lista de reproducción, paginación de comentarios), en el Personalizador y en la Interactivity API | Sobre todo, usuarios con cuenta y rol de colaborador, autor o editor | Importa más si en tu web escriben varias personas o hay cuentas antiguas sin usar |
| XSS a través de nombres de usuario manipulados y de solicitudes de borrado de datos personales | No se ha detallado | Afecta a funciones que tiene cualquier web, aunque solo haya un usuario |
| Cambios del Personalizador sin publicar, visibles para visitantes sin cuenta | Cualquier visitante | Alguien podría ver un rediseño o una oferta antes de tiempo |
| Bloqueo de la web (denegación de servicio) mediante la Interactivity API | No se ha detallado | La web podría dejar de responder |
| Permisos de más en roles personalizados de moderación de comentarios, y lectura de notas de entradas sin permiso para editarlas | Usuarios con cuenta | Gente con acceso podría ver o hacer más de lo que debería |
| Actualización de los certificados raíz incluidos, tras la revocación de un certificado de la entidad eMudhra | — | Mantenimiento técnico de las conexiones seguras |
Fuente: WordPress.org (28 de octubre de 2026) y The Hacker News (noviembre de 2026).
¿Mi web se actualiza sola?
Probablemente sí. Desde WordPress 3.7, las versiones menores de mantenimiento y seguridad se instalan solas en segundo plano, salvo que alguien lo haya desactivado. Así lo explica la documentación oficial sobre actualizaciones automáticas.
Sin embargo, el problema está en ese «salvo que». Estos son los casos en los que tu web puede seguir sin actualizar:
- Alguien desactivó las actualizaciones automáticas, con un plugin o con una línea en el archivo de configuración. A veces se hace «para que no se rompa nada» y luego nadie actualiza a mano.
- La web se gestiona con control de versiones, como Git. En ese caso WordPress no se actualiza solo y tiene que hacerlo quien la mantiene.
- La actualización falló a medias, por ejemplo porque el servidor no dejó escribir los archivos. WordPress avisa por email al administrador, pero a veces ese email es de alguien que ya no está en el negocio.
- Tu hosting controla las actualizaciones y las aplica más tarde o solo cuando se lo pides.
Antes de actualizar: cierra la carpeta de actualizaciones
Si tu web todavía no está en 7.1.4, conviene saber que la actualización que instala el parche se hace con el código antiguo, el que tiene el fallo. Durante unos segundos, WordPress deja una copia temporal en la carpeta wp-content/upgrade con un nombre que se puede adivinar, y un atacante podría usarla. Lo mismo pasa con las actualizaciones automáticas. Por eso, el orden recomendado por el investigador que lo analizó es este:
- Haz una copia de seguridad completa de la web y de la base de datos.
- Bloquea el acceso desde internet a la carpeta /wp-content/upgrade/. Pídeselo a tu hosting o a quien te mantiene la web. En servidores Apache basta con añadir la línea
RedirectMatch 403 ^/wp-content/upgrade/al principio del archivo .htaccess de la raíz, antes de las reglas de WordPress. No pongas el bloqueo dentro de la propia carpeta upgrade, porque WordPress la vacía al actualizar. - Comprueba el bloqueo. Abre tudominio.com/wp-content/upgrade/ en el navegador: debe aparecer un error 403 (acceso prohibido).
- Actualiza a 7.1.4 o a la versión de tu rama que aparece más abajo.
Una vez instalada la versión corregida, las siguientes actualizaciones ya no tienen este problema.
¿Y si mi web ya se actualizó sola?
Lo más probable es que todo esté bien. Aun así, como los ataques empezaron el mismo día del parche, revisa estas señales que propone Wordfence:
- Usuarios administradores que no reconoces.
- Plugins que nadie ha instalado.
- Archivos .php dentro de la carpeta wp-content/upgrade, que solo debería tener archivos temporales o estar vacía.
- En los registros del servidor, peticiones a archivos .php de wp-content/upgrade.
Si encuentras algo raro, no te limites a borrarlo: pide ayuda, porque puede haber más cambios ocultos.
Cómo comprobar en 5 minutos que tu web está protegida
Para comprobarlo solo necesitas entrar en el escritorio de WordPress con un usuario administrador, normalmente en tudominio.com/wp-admin. La revisión tiene dos partes: primero el núcleo de WordPress y después todo lo que la actualización no toca.
Primera parte: comprueba la versión de WordPress
- Mira la versión. Ve a Escritorio > Actualizaciones: arriba verás la versión instalada. También aparece en la esquina inferior derecha de cualquier pantalla del escritorio. Si pone 7.1.4 o una posterior, el núcleo está al día.
- Si pone 7.1.3 o anterior, sigue los pasos del apartado anterior (copia de seguridad y bloqueo de la carpeta) y después pulsa «Actualizar ahora» en esa misma pantalla.
- Si tu web está en una rama antigua, busca su número en la tabla de abajo. Por ejemplo, si estás en 6.8, la versión que corrige estos fallos es la 6.8.12.
- Comprueba que las actualizaciones automáticas siguen activas. En Escritorio > Actualizaciones debe aparecer un aviso de que el sitio se mantiene actualizado automáticamente con las versiones de mantenimiento y seguridad. Si no aparece, pregunta a quien te lleva la web por qué.
Qué versión corrige los fallos según tu rama
| Si tu web está en la rama… | La versión que lo corrige es… | Fallos que le afectan (de 22) |
|---|---|---|
| 7.1 | 7.1.4 | 22 |
| 7.0 | 7.0.8 | 22 |
| 6.9 | 6.9.11 | 22 |
| 6.8 | 6.8.12 | 20 |
| 6.7 | 6.7.11 | 20 |
| 6.6 | 6.6.11 | 19 |
| 6.5 | 6.5.14 | 17 |
| 6.4 | 6.4.14 | 17 |
| De 6.3 a 5.9 | 6.3.14, 6.2.15, 6.1.16, 6.0.18 o 5.9.20 | 9 |
| De 5.8 a 5.0 | De 5.8.19 a 5.0.31, según la rama | 6 |
| 4.9 | 4.9.35 | 4 |
| 4.8 y 4.7 | 4.8.34 y 4.7.39 | 2 |
| 4.6 o anterior | Sin parche | — |
Fuente: ficha de la versión 7.1.4 en WordPress.org.
Segunda parte: revisa lo que la actualización no toca
- Actualiza plugins y tema. WordPress 7.1.4 solo arregla el núcleo. En Escritorio > Actualizaciones verás lo que tienes pendiente. Además, borra los plugins que no uses en lugar de dejarlos desactivados.
- Revisa quién tiene acceso. En Usuarios > Todos los usuarios, elimina las cuentas que no reconozcas o de personas que ya no trabajan contigo. Baja de rol a quien no necesite publicar: como casi todos los fallos XSS piden una cuenta con permiso para escribir, menos cuentas es menos riesgo.
- Echa un vistazo al contenido reciente. Actualizar cierra el agujero, pero no borra lo que alguien hubiera podido guardar antes. Revisa borradores, entradas o páginas que no recuerdes haber creado.
- Pasa la revisión de Herramientas > Salud del sitio. Te avisa de problemas de seguridad y de versiones antiguas de PHP, plugins o temas.
- Vacía la caché y prueba la web. Si usas un plugin de caché o tu hosting la tiene, vacíala. Después, revisa la portada, un formulario y, si vendes online, el proceso de compra.
¿Y si mi web lleva años sin actualizarse?
Si tu web está en una rama antigua, su parche tapa estos fallos concretos, pero no es una solución a largo plazo. WordPress lo deja claro: solo la versión más reciente tiene soporte activo. Los arreglos para ramas antiguas pueden dejar de llegar en cualquier momento, y la 4.6 y anteriores ya no reciben ninguno.
Además, una web anclada en una versión vieja suele arrastrar plugins abandonados y una versión de PHP sin soporte, que son vías de entrada igual de habituales. Lo sensato es planificar el salto a la rama 7.1 con calma. Primero, copia de seguridad; después, prueba en una copia de la web (lo que se llama entorno de pruebas o staging); y por último, actualiza la web real. Si vienes de una versión anterior a la 7.0, repasa también qué cambió con WordPress 7.0 y qué se puede romper al actualizar.
Y ten en cuenta el calendario: WordPress 7.2 está prevista para el 8 de diciembre de 2026, así que la distancia con las versiones antiguas va a seguir creciendo.
Actualizar rápido, pero no a ciegas: nuestro criterio
Ya contamos en por qué debes actualizar WordPress hoy mismo que dar a un botón sin red tiene sus riesgos. Con WordPress 7.1.4, nuestro criterio es este:
- Las versiones de seguridad del núcleo, cuanto antes, con una copia de seguridad hecha. Cambian poco y esperar es más arriesgado que actualizar.
- Las versiones grandes (como la 7.2) y los plugins clave (el constructor de páginas, la tienda, las reservas), primero en una copia de pruebas.
- Siempre una copia fuera del servidor. Si el hosting tiene un problema, una copia guardada en el mismo sitio no sirve de mucho.
Y estos son errores que conviene evitar, porque convierten un parche de cinco minutos en un problema:
- Desactivar las actualizaciones automáticas «por si acaso» y no actualizar nunca a mano.
- Dejar plugins desactivados en lugar de borrarlos: siguen en el servidor y pueden tener fallos.
- Mantener cuentas de administrador de antiguos empleados, de la agencia anterior o de quien hizo la web hace años.
- Tener como email del administrador una dirección que nadie lee, de modo que los avisos de WordPress se pierden.
Una web que nadie revisa acaba como una casa abandonada: parece en pie hasta que alguien entra.
Preguntas frecuentes sobre WordPress 7.1.4
¿Tengo que hacer algo si mi web se actualiza sola?
Sí: comprobar que de verdad se ha actualizado y que no hay nada extraño. Entra en Escritorio > Actualizaciones y mira que pone 7.1.4. Después, revisa usuarios y plugins, y actualiza también plugins y tema, porque por defecto las actualizaciones automáticas solo cubren el núcleo de WordPress y las traducciones.
¿Puede romperse mi web al actualizar a WordPress 7.1.4?
Es poco probable, porque las versiones menores solo corrigen fallos y no cambian funciones. Aun así, haz una copia de seguridad antes y revisa después la portada, los formularios y, si vendes, el proceso de compra. Si tu web usa bloques hechos a medida, pruébalo primero en una copia.
¿Se están aprovechando ya estos fallos?
Sí, al menos el más grave. Hubo intentos de ataque desde el mismo día del parche, y el 3 de noviembre de 2026 la agencia de ciberseguridad de Estados Unidos (CISA) lo añadió a su lista de vulnerabilidades explotadas. Por eso no conviene esperar.
¿Esta actualización arregla también los plugins y el tema?
No. Solo corrige el núcleo de WordPress. Los plugins y el tema se actualizan aparte, desde Escritorio > Actualizaciones o desde la pantalla de plugins. De hecho, son la principal vía de problemas: según Patchstack, el 91 % de las vulnerabilidades que se descubrieron en 2025 en el ecosistema de WordPress estaban en plugins, y el 9 % en temas.
¿Cómo sé si mi web está hecha con WordPress?
Añade /wp-admin al final de tu dominio (por ejemplo, tunegocio.com/wp-admin). Si aparece la pantalla de acceso de WordPress, lo está. Si no tienes usuario o no sabes quién lo tiene, ese es el primer problema que resolver: la web es tuya y debes tener acceso de administrador.
¿Cuándo sale WordPress 7.2?
Está prevista para el 8 de diciembre de 2026, según el anuncio de la versión 7.1.4. Será una versión mayor, con cambios de funciones, y por defecto WordPress no instala solas las versiones mayores. Por eso conviene probarla antes en una copia de la web.
En resumen: cinco minutos hoy te ahorran un disgusto
WordPress 7.1.4 corrige 22 fallos de seguridad, y el más grave ya se está intentando aprovechar. Si aún no has actualizado, cierra antes la carpeta de actualizaciones y actualiza hoy. Después, confirma que las actualizaciones automáticas funcionan, actualiza plugins y tema, y limpia los usuarios que sobran. Si tu web está en una rama antigua, aplica su parche y planifica el salto a la versión actual.
Si prefieres que se ocupe alguien, para eso está nuestro servicio de mantenimiento web. Aplicamos las actualizaciones en entornos controlados, con copias de seguridad automáticas y vigilancia 24 horas, desde 30 € al mes más IVA. Y si no sabes qué versión tienes o no tienes acceso a tu web, escríbenos y lo miramos contigo.
