Santo Domingo.- WordPress 7.1.4 ya está disponible y llega como una actualización de seguridad que el propio equipo del proyecto recomienda instalar de inmediato en todos los sitios.
La versión corrige múltiples problemas a la vez, entre ellos una debilidad en el proceso de actualización que puede terminar en ejecución remota de código, el tipo de fallo que ningún administrador quiere dejar abierto ni un día de más.
Los sitios que admiten actualizaciones automáticas en segundo plano recibirán el parche sin intervención; el resto debe aplicarlo cuanto antes desde su escritorio.
El aviso oficial lo deja claro: al tratarse de una versión de seguridad, la recomendación es actualizar los sitios de inmediato. No se trata de una mejora menor ni de una función nueva que pueda esperar al próximo mantenimiento programado. Entre los fallos corregidos hay varias vías de XSS almacenado repartidas por bloques, el Personalizador y la Interactivity API, además del problema en el propio mecanismo que actualiza WordPress, una combinación que eleva el riesgo de dejar la versión anterior funcionando.
Los fallos corregidos en esta versión
- Los fallos corregidos en esta versión
- Cómo actualizar y qué pasa con las versiones anteriores
- WordPress 7.2 llega el martes 8 de diciembre
El problema más serio del paquete afecta al proceso de actualización: una debilidad en ese mecanismo puede llevar a la ejecución remota de código durante la ventana en que el sitio se está actualizando. El hallazgo lo reportó Umut Bayram y, por su naturaleza, encabeza los motivos para no posponer el parche.
El resto de la lista se concentra en XSS almacenado, es decir, código malicioso que queda guardado en el sitio y se ejecuta cuando otra persona abre la página afectada. WordPress 7.1.4 corrige esa vía en varios frentes:
- En el marcado de bloques creado de forma especial, reportado por Rafie Muhammad, de Awesome Motive.
- En las solicitudes de eliminación de datos de privacidad, que podían crearse de una manera que derivaba en XSS almacenado, reportado por Anthropic.
- En la Interactivity API, con varios casos descubiertos por AnC y DatNLQ, de VietSunshine Cyber Security, rekter0, Anas Cherni, Marcel Karlsson y miembros del equipo de seguridad de WordPress.
- En la actualización selectiva del Personalizador, reportado también por Rafie Muhammad.
- En el bloque de Categorías y en los bloques de lista de reproducción e imágenes, ambos reportados por Ben Bidner, del equipo de seguridad.
- En los bloques de paginación de comentarios, reportado por Alex Concha, del equipo de seguridad.
- En los nombres de usuario creados de forma especial, reportado por Anthropic.
La Interactivity API suma además un problema de denegación de servicio almacenada, reportado por Jon Surrell, del equipo de seguridad. Y la lista no termina en el XSS: los conjuntos de cambios del Personalizador que aún no se han publicado podían ser descubiertos por usuarios sin autenticación, un hallazgo de Antonio Lorensius Silaban, y las notas de una entrada podían leerlas usuarios con privilegios que no tienen acceso a editar esa entrada, reportado por Ramon, del equipo de seguridad.
El paquete se completa con una actualización de los certificados raíz que WordPress incluye de serie, motivada por la revocación que afectó a eMudhra. Es un cambio menos visible, pero sostiene la confianza de las conexiones seguras que el sitio establece con servicios externos.
Cómo actualizar y qué pasa con las versiones anteriores
WordPress 7.1.4 se puede descargar desde WordPress.org o instalar sin salir del sitio: escritorio, opción «Actualizaciones» y el botón «Actualizar ahora». Quienes tengan activadas las actualizaciones automáticas en segundo plano no necesitan hacer nada, porque el proceso arranca solo. Como siempre en materia de seguridad, conviene comprobar después que el sitio carga bien y que la versión instalada es la 7.1.4.
Como cortesía, las correcciones de seguridad se trasladaron a todas las ramas que todavía reciben este tipo de parches, en este momento hasta la 4.7, y esos paquetes equivalentes se irán publicando a medida que estén listos. El recordatorio oficial sigue vigente: solo la versión más reciente de WordPress recibe soporte activo, así que mantenerse en ramas antiguas es una deuda de riesgo que crece con cada aviso como este.
La versión la lideraron Aaron Jorbin y Nik Tsekouras, con la participación de 30 colaboradores. El equipo de seguridad agradeció además a las personas y organizaciones que reportaron las vulnerabilidades de forma responsable y permitieron corregirlas antes de publicar los detalles.
WordPress 7.2 llega el martes 8 de diciembre
WordPress 7.1.4 es una versión de ciclo corto y no cambia los planes del calendario: la próxima versión mayor será la 7.2, prevista para el martes 8 de diciembre. Junto al parche de seguridad también se publicó WordPress 7.2 Beta 3, que incluye todas las correcciones aplicables, pensada para quienes prueban las novedades antes del lanzamiento.
La recomendación práctica para cualquier sitio en producción es sencilla: no esperar a diciembre. Aplicar hoy la 7.1.4, verificar que todo funciona tras el cambio y mantener las actualizaciones automáticas activadas es la forma directa de cerrar unos fallos que ya tienen nombre, apellido y solución publicada.
Por Henry Ramírez