Tronlar
Beta
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
⚠️ WordPress bajo ataque: casi 63.000 intentos de explotar un fallo RCE del Core en 24 horas
Buenas,
Por si alguno tiene webs en WordPress, ojo con esto porque es bastante reciente y esta vez no estamos hablando de un plugin vulnerable, sino de un fallo en el propio WordPress Core.
WordPress publicó el pasado 28 de octubre la versión 7.1.4 como actualización de seguridad. Entre los problemas corregidos hay una vulnerabilidad en el proceso de actualización del Core que puede llegar a permitir ejecución remota de código (RCE).
Lo preocupante es que los atacantes no han tardado mucho en empezar a probarla.
Según Wordfence, en las últimas 24 horas han bloqueado 62.969 intentos de ataque relacionados con esta vulnerabilidad.
🔴 ¿Qué versiones están afectadas?
El fallo afecta a versiones de WordPress desde la 4.7 hasta la 7.1.3.
La corrección está incluida en:
WordPress 7.1.4
WordPress también está llevando las correcciones de seguridad a ramas antiguas que todavía pueden recibirlas, aunque desde WordPress.org recuerdan que solamente la versión más reciente está soportada activamente.
Así que lo primero que haría sería entrar en vuestro WordPress y comprobar la versión.
Insertar CODE, HTML o PHP:
Escritorio → ActualizacionesSi tenéis pendiente WordPress 7.1.4, yo actualizaría cuanto antes.
Si tenéis activadas las actualizaciones automáticas es posible que ya se haya instalado, pero tampoco cuesta nada comprobarlo.
🧨 ¿En qué consiste el fallo?
La vulnerabilidad es bastante curiosa porque el ataque tiene que producirse justo mientras WordPress se está actualizando.
Cuando WordPress realiza una actualización completa del Core, descomprime temporalmente archivos de la nueva versión dentro de:
Insertar CODE, HTML o PHP:
wp-content/upgrade/El problema es que las versiones vulnerables podían utilizar una ruta temporal predecible y, en determinados servidores, esa ubicación podía ser accesible desde Internet.
Esa copia temporal incluye también archivos del instalador de WordPress.
Un atacante sin estar autenticado puede realizar peticiones continuamente intentando acceder al instalador justo durante los pocos segundos en los que WordPress está realizando la actualización.
Si consigue acertar esa pequeña ventana y se cumplen las condiciones necesarias en el servidor, puede interactuar con esa instalación temporal y llegar a ejecutar código PHP en el servidor.
Es lo que se conoce como una race condition.
La ventana normalmente dura solamente unos segundos, pero los atacantes están intentando solucionarlo a lo bruto: realizando peticiones una y otra vez durante horas esperando coincidir con una actualización.
De hecho, Wordfence ha observado algunas fuentes atacando pequeños grupos de webs durante unas 14,5 horas seguidas.
🔎 ¿Cómo puedo comprobar si han intentado explotarlo en mi web?
Si tenéis acceso a los logs del servidor, podéis buscar peticiones hacia:
Insertar CODE, HTML o PHP:
/wp-content/upgrade/Especialmente peticiones a archivos PHP dentro de esa ruta.
Uno de los archivos que están intentando localizar los atacantes es:
Insertar CODE, HTML o PHP:
setup-config.phpSi utilizáis cPanel, Plesk o algún panel de hosting que permita consultar los logs de acceso, podéis buscar por:
Insertar CODE, HTML o PHP:
wp-content/upgradeo:
Insertar CODE, HTML o PHP:
setup-config.phpImportante: que aparezcan peticiones hacia esas rutas no significa automáticamente que vuestra web haya sido hackeada.
Ahora mismo hay bots realizando este tipo de peticiones masivamente. Una petición bloqueada, un 403 o un 404 puede ser simplemente un intento fallido.
Además de los logs, Wordfence recomienda revisar si ha aparecido algo extraño en la instalación.
Yo comprobaría:
- Usuarios administradores que no reconozcáis.
- Plugins que no recordéis haber instalado.
- Archivos PHP nuevos o modificados recientemente.
- Archivos PHP sospechosos dentro de
wp-content/upgrade/. - Cambios inesperados en archivos de WordPress.
Por ahora se están observando intentos activos de explotación, pero eso no significa que esas casi 63.000 peticiones correspondan a 63.000 webs hackeadas.
Son intentos de ataque, que es bastante diferente.
🛡️ ¿Qué hago si tengo WordPress?
Lo principal es bastante sencillo:
Comprobar que WordPress está actualizado.
La versión 7.1.4 salió el 28 de octubre precisamente como actualización de seguridad y WordPress recomienda actualizar inmediatamente.
Además, 7.1.4 no corrige solamente este problema. La actualización incluye otras correcciones de seguridad relacionadas con XSS, divulgación de información, permisos y otros problemas del Core.
Si administráis varias webs WordPress, yo las revisaría todas porque siempre puede quedar alguna instalación antigua olvidada.
Y si alguna estuvo utilizando una versión vulnerable, echaría un vistazo a los logs buscando peticiones a
wp-content/upgrade/ y revisaría administradores, plugins y archivos PHP por si hubiera algo que no debería estar ahí.📚 Fuentes
WordPress.org — WordPress 7.1.4
https://wordpress.org/news/2026/10/wordpress-7-1-4/
Documentación oficial de WordPress — Version 7.1.4
https://wordpress.org/documentation/wordpress-version/version-7-1-4/
WordPress España — Actualización de seguridad 7.1.4
https://es.wordpress.org/category/seguridad/
The Hacker News — WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours
https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
Esta vez no es el típico caso de un plugin abandonado o con pocas instalaciones, sino una vulnerabilidad del propio WordPress Core.
La buena noticia es que ya está corregida.
Así que si tenéis WordPress, comprobad la versión y, si todavía estáis en una versión vulnerable, actualizaría cuanto antes.
Si alguno mira sus logs y encuentra intentos contra
wp-content/upgrade/ o setup-config.php, estaría interesante que comentara qué está viendo.
