WordPress Core ha recibido actualizaciones de seguridad para corregir dos vulnerabilidades. El aviso advierte que la combinación de ambos fallos se considera grave y que, poco después de su publicación, se detectó uso malicioso. Si administras un sitio con WordPress, este es un buen momento para revisar tu versión y aplicar los parches cuanto antes.
En este artículo repasamos qué significa el riesgo, qué versiones están afectadas y qué pasos puedes seguir para proteger tu sitio.
Qué se encontró en WordPress Core
Las vulnerabilidades corregidas están identificadas como CVE-2026-60137 y CVE-2026-63030. Una de ellas tiene una puntuación CVSS de 9.8, lo que indica un impacto especialmente alto. Según el aviso, esta vulnerabilidad permite que un atacante, sin necesidad de iniciar sesión, ejecute código dañino de forma remota mediante una petición HTTP especialmente preparada.
La segunda vulnerabilidad aumenta el riesgo de explotación, de modo que el resultado conjunto se clasifica como grave. Además, el aviso señala que se observó abuso poco después de publicarse la información.
Por qué importa: posibles consecuencias para tu sitio
Si un atacante logra explotar estas fallas, puede conseguir desde tomar el control del sitio hasta provocar efectos que afectan a la disponibilidad y la confianza.
Entre los impactos mencionados se incluyen:
- Acceso y control del sitio por parte del atacante.
- Robo de datos.
- Interrupción del servicio (que el sitio deje de estar disponible).
- Daño reputacional y costes de recuperación.
Qué versiones de WordPress están afectadas
El aviso detalla qué instalaciones deben prestar atención. En términos prácticos, la clave es actualizar a las versiones corregidas indicadas para cada caso.
Versiones corregidas
Se indican lanzamientos que solucionan las vulnerabilidades:
- WordPress 6.9: vulnerable a ambos fallos. Ya existe la versión 6.9.5 que los corrige.
- WordPress 6.8: vulnerable al primer fallo. La versión 6.8.6 corrige ese problema.
- WordPress 7.1 (beta): vulnerable a ambos fallos. Se publica 7.1 beta2 con las correcciones.
- WordPress 7: las versiones hasta 7.0.2 están descritas como vulnerables a ambas vulnerabilidades.
Versiones no afectadas según el aviso
El texto del aviso indica que versiones de WordPress anteriores a 6.8 no son vulnerables a estos fallos en el contexto descrito.
Qué debes hacer ahora
La recomendación principal es clara: instala las actualizaciones de seguridad disponibles para corregir el problema y reducir el riesgo de abuso. Como se observó explotación tras la publicación, actuar con rapidez es especialmente importante.
1) Instala los parches de inmediato
Si tu sitio usa una de las versiones mencionadas como vulnerables, actualiza a las versiones corregidas (por ejemplo, 6.9.5 o 6.8.6, según corresponda). Así disminuyes la superficie de ataque y mantienes tu instalación al día.
2) Si no sabes qué versión tienes, pide ayuda
Si no tienes certeza sobre tu versión exacta, consulta con tu proveedor de hosting o con tu equipo de TI. Ellos pueden confirmar la versión instalada y planificar la actualización con el menor impacto posible.
3) Si no puedes actualizar todavía, aplica medidas temporales
En caso de que la actualización no sea inmediata, el aviso sugiere hablar con el equipo de TI para valorar medidas temporales que ayuden a mitigar el riesgo mientras se prepara el despliegue del parche. La mejor estrategia dependerá de tu infraestructura, pero la idea es no dejar la vulnerabilidad expuesta sin control.
Consejos para una gestión segura de actualizaciones
Más allá del caso concreto, estas situaciones muestran por qué conviene tener un proceso estable para aplicar parches. Algunas prácticas útiles:
- Revisar el número de versión de WordPress en cada cambio relevante.
- Planificar ventanas de mantenimiento para que la actualización no dependa de urgencias.
- Validar en un entorno de prueba cuando sea posible, antes de tocar producción.
- Documentar quién aprueba y ejecuta las actualizaciones.
Estas medidas no sustituyen la urgencia de aplicar las actualizaciones de seguridad, pero te ayudan a ejecutarlas de forma consistente.
Conclusión
WordPress Core ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades, una de ellas con un impacto alto y explotación observada tras la publicación. Dado que un atacante podría llegar a tomar el control del sitio, robar información o afectar la disponibilidad, la acción más recomendable es instalar los parches lo antes posible.
Verifica tu versión, actualiza a las correcciones indicadas y, si no puedes hacerlo de inmediato, coordina medidas temporales con tu equipo. Con eso reducirás el riesgo y mantendrás tu sitio más protegido.
Fuente: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-wordpress-core-installeer-updates
