WordPress ha publicado la versión 7.1.4, una actualización de seguridad que corrige 22 vulnerabilidades. La más grave afecta al propio proceso de actualización y, en determinadas condiciones, permitiría ejecutar código en el servidor. Si tu tienda o tu web corporativa funciona con WordPress o WooCommerce, hay que aplicarla esta semana. Y es una buena ocasión para revisar algo más importante que el parche: quién mantiene tu web y cómo.
Qué corrige exactamente
La actualización se publicó el 28 de octubre y se ha aplicado también a todas las versiones que siguen recibiendo parches de seguridad, hasta la 4.7. Eso quiere decir que algunos de estos fallos llevaban años abiertos en muchísimas webs. Se agrupan en tres tipos:
- El proceso de actualización. Es el fallo más serio: durante el breve intervalo en que la web se actualiza, un atacante podría, en determinadas condiciones, ejecutar código en el servidor y hacerse con ella. El momento de ponerse al día es también un momento de exposición si no se hace de forma controlada.
- Código malicioso guardado en el contenido. Es lo que técnicamente se llama XSS almacenado, y aparece en muchos sitios: bloques del editor (categorías, imágenes, listas de reproducción, paginación de comentarios), el personalizador del tema, las solicitudes de borrado de datos personales e incluso los nombres de usuario. El patrón es siempre el mismo: alguien con una cuenta, muchas veces de nivel colaborador, deja código que se ejecuta cuando un administrador abre esa página. Con eso puede robar la sesión del administrador y actuar en su nombre.
- Información visible cuando no debería. Cambios de diseño todavía no publicados que podía ver cualquier visitante y notas internas accesibles a usuarios sin permiso sobre ese contenido. En la práctica: el rediseño de una campaña o una promoción que aún no se ha anunciado.
La versión también renueva los certificados raíz que WordPress usa para conectarse de forma segura con otros servicios, tras la revocación de una autoridad certificadora. Las webs con las actualizaciones automáticas activadas la recibirán solas, pero en muchas empresas están desactivadas, precisamente por miedo a que algo se rompa.
Un detalle que dice mucho
Dos de los fallos los ha comunicado un laboratorio de inteligencia artificial. No es una anécdota: la IA está acelerando la búsqueda de vulnerabilidades, y eso significa más avisos y más seguidos. Actualizar «cuando haya tiempo» o una vez al año ya no es una opción razonable para una web que vende.
Por qué importa a tu negocio
Ventas. Una tienda comprometida suele acabar fuera de línea mientras se limpia, o marcada como peligrosa por navegadores y buscadores. Cada día sin vender tiene un coste directo y otro que dura más: la confianza de los clientes.
Datos y obligaciones legales. Una intrusión en una web con datos de clientes obliga a gestionar el incidente, notificarlo si procede y dar explicaciones. El esfuerzo interno y el daño reputacional superan con mucho lo que cuesta mantener la plataforma al día.
Accesos olvidados. Que muchos de estos fallos exijan una cuenta es una buena noticia a medias. En muchas empresas medianas siguen activos usuarios de antiguas agencias, colaboradores puntuales o empleados que ya no están. Cada una de esas cuentas es una puerta.
Qué conviene comprobar esta semana
- Que la web está en la 7.1.4 (o en la versión corregida de su rama) y que, tras actualizar, el catálogo, el carrito, el pago y los correos de pedido funcionan.
- Quién tiene cuenta. Eliminar las que sobran y exigir doble factor a los administradores.
- Quién es responsable. Si la respuesta es «nadie en concreto» o «la agencia que la hizo», el problema no es esta actualización, sino la siguiente.
Cómo lo enfocamos en TRILOGI
El núcleo de WordPress casi nunca es lo que falla. En las webs que revisamos, el riesgo está alrededor: plugins que nadie actualiza desde hace años, temas modificados que impiden actualizar sin romper el diseño, extensiones de WooCommerce de proveedores que ya no existen y cuentas de administrador compartidas por media empresa.
Por eso, cuando una empresa nos pide ayuda tras un aviso como este, no nos quedamos en el parche. Hacemos un inventario de todo lo que tiene instalado la web y de su estado de mantenimiento, marcamos qué piezas son un riesgo o sobran y dejamos un calendario de actualizaciones con responsables. A partir de ahí, nuestro equipo de Customer Care puede asumir el mantenimiento con tiempos de respuesta pactados, para que el próximo aviso sea un trámite y no una urgencia.
Cada martes, las 5 noticias que importan: suscríbete a la newsletter.
