WordPress liberó la versión 7.0.2, un parche de seguridad que corrige dos fallas: una crítica que permite ejecución remota de código y otra de severidad alta. Por la gravedad, el equipo de WordPress.org activó actualizaciones forzadas en los sitios afectados. Si tu marca tiene su sitio o su tienda en WordPress, revisa hoy mismo qué versión estás corriendo.
Qué corrige exactamente WordPress 7.0.2
El anuncio oficial de WordPress.org del 17 de julio de 2026 detalla dos vulnerabilidades reportadas de forma responsable al equipo de seguridad:
- Una inyección SQL facilitada, reportada en conjunto por los investigadores TF1T, dtro y haongo.
- Una confusión en las rutas batch de la REST API combinada con inyección SQL que deriva en ejecución remota de código (RCE), reportada por Adam Kues, investigador de Assetnote en Searchlight Cyber.
La segunda es la que debería quitarte el sueño. Una falla de ejecución remota de código significa que un atacante puede llegar a correr instrucciones en tu servidor. Ahí viven tu base de datos, tus clientes y, si tienes tienda, tus pedidos.
Por eso WordPress.org no se limitó a recomendar la actualización inmediata: activó actualizaciones forzadas a través del sistema de auto-update para los sitios que corren versiones afectadas. Es una medida que el proyecto reserva para casos graves, y este calificó.
Qué versiones están afectadas y cuál instalar
El detalle por versión, según el mismo anuncio:
| Versión que corres | ¿Afectada? | Qué instalar |
|---|---|---|
| 7.0 o 7.0.1 | Sí, por ambas fallas | 7.0.2 |
| 6.9 | Sí, por ambas fallas | 6.9.5 |
| 6.8 | Solo por la inyección SQL | 6.8.6 |
| Anterior a 6.8 | No, según WordPress.org | No requiere este parche |
| 7.1 beta | Sí, por ambas fallas | 7.1 beta 2 |
Ojo con la última fila. La beta de WordPress 7.1 que te contamos hace unos días también estaba afectada y ya tiene su corrección en beta 2. Si montaste un entorno de prueba con ella, actualízalo igual que tu sitio productivo.
Para actualizar a mano, el camino es el de siempre: Escritorio, Actualizaciones, botón de actualizar ahora. También puedes descargar WordPress 7.0.2 desde WordPress.org. En los sitios con actualizaciones automáticas en segundo plano, el proceso parte solo.
La lectura: el update forzado te protege, pero no te exime
Las actualizaciones forzadas favorecen a las pymes que no tienen equipo técnico mirando el sitio todos los días, que en Chile son la mayoría de las que venden con WooCommerce o publican su blog corporativo en WordPress. El parche les llega sin que muevan un dedo.
¿A quién le complica la vida? A los sitios con versiones congeladas por compatibilidad de plugins, con auto-updates desactivados o con hostings que gestionan las versiones por su cuenta. Esos quedan fuera del paraguas del update forzado y dependen de que alguien aplique el parche a mano.
Hay una señal de mercado que conviene leer: la falla crítica vive en la REST API, la misma puerta que usan integraciones, apps móviles y conectores de ecommerce. Mientras más se conecta tu WordPress con otras herramientas, más superficie de ataque expones. La seguridad de tu sitio dejó de limitarse al formulario de login.
Revisa esto hoy, en este orden
- Entra a tu escritorio de WordPress y confirma la versión exacta que estás corriendo. Si dice 7.0.2, 6.9.5 o 6.8.6, ya estás cubierta.
- Si sigues en una versión afectada, respalda y actualiza ahora. El parche existe desde hoy y las fallas ya son públicas.
- Si tu hosting administra las actualizaciones, escríbele y pide confirmación por escrito de que el parche se aplicó.
- Si tienes auto-updates desactivados, este es el momento de reevaluar esa decisión con tu equipo o tu agencia.
- Anota en tu calendario revisar la versión de nuevo en 48 horas: los updates forzados no son instantáneos en todos los sitios.
Mi recomendación práctica: no delegues esta revisión a "cuando haya tiempo". Te toma cinco minutos mirar la versión y te ahorra la conversación más incómoda que existe con tus clientes, la de explicar por qué sus datos quedaron expuestos.
Preguntas frecuentes
¿Tengo que hacer algo si mi sitio se actualiza solo?
Sí: verificar. Las actualizaciones forzadas cubren los sitios que corren versiones afectadas y tienen el sistema de auto-update operativo. Entra al escritorio y confirma que la versión ya cambió. Si sigue en 7.0, 7.0.1, 6.9 o 6.8 sin parchar, actualiza a mano.
¿Y si mi sitio usa una versión anterior a 6.8?
Según WordPress.org, esas versiones no están afectadas por estas dos fallas. Pero correr versiones tan antiguas te deja fuera de los parches modernos y de las mejoras de rendimiento, así que igual conviene planificar la subida con respaldo y pruebas.
