WordPress 7.1.4, actualización de seguridad: qué hacer hoy

WordPress publicó el 28 de octubre de 2026 la versión 7.1.4, una actualización de seguridad que corrige varios fallos, uno de ellos en el propio proceso de actualización. El proyecto recomienda instalarla de inmediato. Afecta a cualquier web hecha con WordPress, también a las que siguen en ramas antiguas.

Lo que se sabe

Qué salió y cuándo: WordPress 7.1.4, el 28 de octubre de 2026, según la nota oficial de WordPress.org, firmada por Aaron Jorbin. La nota dice que se recomienda actualizar las webs «inmediatamente».
Cuántos fallos: la nota agrupa los arreglos en 12 puntos, más una actualización de los certificados raíz que trae WordPress por la revocación de la autoridad eMudhra. La página de la versión en WordPress.org habla de 22 vulnerabilidades y 32 archivos cambiados.
De qué tipo: según esa página, la mayoría son fallos de XSS almacenado (código que se guarda en el contenido y se ejecuta al abrirlo) y casi todos los que indican el rol exigen una cuenta de colaborador o superior. Uno expone a visitantes sin sesión cambios del Personalizador que aún no se han publicado. Otro, en el proceso de actualización del núcleo, podría permitir ejecutar código en el servidor.
Lo que no dicen: ni la nota ni la página dan identificadores CVE o niveles de gravedad, ni dicen que algún fallo se esté explotando.
Quién avisó: la nota agradece a varios investigadores, al propio equipo de seguridad de WordPress y a Anthropic, que comunicó dos de los fallos.
Ramas antiguas: los arreglos se llevan a todas las ramas que aún reciben parches de seguridad, hoy hasta la 4.7. La página de la versión lista, entre otras, la 7.0.8, la 6.9.11, la 6.8.12, la 6.7.11, la 6.6.11 y la 6.5.14. La 4.6 y anteriores ya no reciben parches.
Lo siguiente: WordPress 7.2 Beta 3 ya incluye estos arreglos, y la versión 7.2 está prevista para el 8 de diciembre de 2026, según la nota.

Qué cambia y qué no

Cambia la versión mínima segura: en la rama 7.1 es la 7.1.4, y en cada rama antigua, su nueva versión menor.
No cambia cómo se instala: es una versión menor. Según la nota, las webs con actualizaciones automáticas en segundo plano empiezan a actualizarse solas.
No es una alarma de ataques en curso: nada en las fuentes oficiales indica explotación. Pero los arreglos ya son públicos, y eso facilita que alguien los estudie.
No sustituye a los plugins: la 7.1.4 corrige el núcleo de WordPress; los plugins y el tema se actualizan aparte.

Cómo saber si te afecta

Mira tu versión. En el escritorio de WordPress, entra en Escritorio → Actualizaciones. También aparece abajo a la derecha en cualquier pantalla del panel.
Comprueba que la automática llegó. Si ves 7.1.4 (o 7.0.8, 6.9.11, 6.8.12 si estás en esas ramas), ya está. Si no, pulsa «Actualizar ahora» después de hacer una copia de seguridad.
Si tienes varios autores, ve primero. Como casi todos los fallos piden una cuenta de colaborador o superior, una web con redactores externos, cuentas de antiguos empleados o registro abierto tiene más riesgo. Revisa Usuarios y quita las cuentas que ya no se usan.
Si estás en una rama antigua, instala al menos la versión con el arreglo de tu rama. Si sigues en la 4.6 o anterior, ya no hay parche: toca planear la migración.
Si tu web la mantiene otro (hosting gestionado o un proveedor), pregúntale qué versión tiene hoy y cuándo la actualizó. No olvides las copias de prueba o de staging, que también son WordPress.

Relacionado: WordPress 7.1.3 corrige 7 fallos de seguridad: actualiza hoy

Fuentes

Actualizaciones: si WordPress publica identificadores CVE o avisa de ataques contra estos fallos, se añadirá aquí con su enlace.