Vulnerabilidad crítica en WordPress: inclusión de archivos PHP con riesgo de ejecución de código

Si la web de tu empresa funciona con WordPress, para lo que estés haciendo y lee esto. Se ha confirmado una vulnerabilidad en el núcleo de WordPress que permite a un atacante no autenticado forzar la carga de archivos PHP a los que no debería tener acceso. CISA ya la ha añadido a su catálogo de vulnerabilidades explotadas activamente y exige remediación antes del 28 de septiembre de 2026. Afecta a 25 ramas del CMS, desde la 4.7 hasta la 7.1.1, y la corrección ya está disponible.

Qué ha pasado

La vulnerabilidad, identificada como CVE-2026-87902, reside en la función get_page_template() de WordPress Core. Un error en el modo en que WordPress resuelve qué plantilla de página debe usar permite que un atacante remoto, sin autenticarse, consiga que el sistema cargue y procese un archivo .php que está fuera de las carpetas del tema activo y que no debería ejecutarse en ese contexto. Si se dan determinadas condiciones en el servidor y en el tema utilizado, esa carga indebida puede derivar en ejecución remota de código (Remote Code Execution, RCE).

El tipo de debilidad se clasifica como CWE-98: control inadecuado del nombre de archivo en sentencias include/require de PHP.

La puntuación CVSS 3.1 asignada es de 8,1 sobre 10 (HIGH), con vector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. La complejidad de ataque se considera alta (AC:H) porque hacen falta precondiciones específicas del servidor y del tema para llegar a ejecutar código. Aun así, el impacto potencial en confidencialidad, integridad y disponibilidad es máximo.

Cronología:

• 22 de septiembre de 2026 — Publicación del CVE en el NVD (estado actual: Undergoing Analysis, la puntuación podría revisarse).
• 23 de septiembre de 2026 — INCIBE-CERT publica su aviso, clasificando la importancia como 5 (Crítica).
• 25 de septiembre de 2026 — CISA añade el CVE a su catálogo KEV de vulnerabilidades explotadas conocidas.
• 28 de septiembre de 2026 — Fecha límite de remediación que exige CISA.

Según Patchstack, los atacantes comenzaron a sondear sitios WordPress horas después de la publicación del parche. Que CISA la haya incluido en su catálogo KEV significa que tiene evidencias de explotación real; el aviso de INCIBE, publicado dos días antes, todavía no la marcaba como explotada.

¿Afecta a mi empresa?

Sí, si tu WordPress está en cualquier versión comprendida entre la 4.7.0 y la 7.1.1. Eso cubre 25 ramas de desarrollo, es decir, prácticamente cualquier instalación que no se haya actualizado en los últimos días.

Versiones afectadas (resumen por ramas):

• Rama 7.1: 7.1.0 a 7.1.1
• Rama 7.0: 7.0.0 a 7.0.5
• Rama 6.x: desde 6.0.0 hasta 6.9.8 (todas las subramas)
• Rama 5.x: desde 5.0.0 hasta 5.9.17 (todas las subramas)
• Rama 4.x: desde 4.7.0 hasta 4.9.32

Para comprobar tu versión, entra en el panel de administración de WordPress y ve a Escritorio → Actualizaciones: ahí aparece la versión instalada y si hay una más reciente.

Según el aviso de seguridad de WordPress, para llegar a ejecutar código tienen que darse dos condiciones: que el tema activo (o su tema padre) tenga una carpeta cuyo nombre empiece por page- —pasa en temas antiguos como Twenty Twelve y Twenty Fourteen y en algunos populares como Neve, Hestia o Sydney— y que en el servidor haya un fichero PHP aprovechable, algo habitual en ciertas configuraciones (la imagen oficial de PHP para Docker, o cPanel con PHP anterior a la 8.5). Como es difícil saberlo con certeza sin revisar el servidor, trata cualquier instalación en versión vulnerable como en riesgo.

Las versiones anteriores a la 4.7 no aparecen en el aviso ni reciben parche: si tu web sigue en una de ellas, lleva años sin actualizaciones de seguridad y lo urgente es migrarla a una versión con soporte.

Qué hacer, paso a paso

1. Actualizar WordPress

La solución definitiva es aplicar el parche. WordPress ha publicado correcciones para todas las ramas afectadas:

• Rama recomendada: actualizar a 7.1.2 (la única con soporte activo completo).
• Si no puedes saltar de rama, aplica la actualización de seguridad correspondiente. Algunas de las versiones corregidas: 7.0.6, 6.9.9, 6.8.10, 6.7.9, 6.6.9, 6.5.12, 6.4.12, 6.3.12, 6.2.13, 6.1.14, 6.0.16, 5.9.18, 5.8.17, 5.7.19, 5.6.21, 5.5.22, 5.4.23, 5.3.25, 5.2.28, 5.1.26, 5.0.29, 4.9.33, 4.8.32 y 4.7.37.

Si tienes las actualizaciones automáticas menores activadas, es posible que ya hayas recibido el parche. Compruébalo igualmente.

2. Mitigar si no puedes parchear de inmediato

Si por algún motivo no puedes actualizar ahora mismo (entorno de producción con dependencias críticas, por ejemplo), ten en cuenta que las fuentes no proporcionan una mitigación parcial concreta más allá de la actualización. CISA indica que, si no hay mitigaciones disponibles, se debe considerar dejar de exponer el sitio a internet hasta que se aplique el parche.

3. Buscar indicios de compromiso

CISA exige triaje forense para esta vulnerabilidad. Sin embargo, ninguna de las fuentes publica indicadores de compromiso (IoC) específicos ni procedimientos concretos de revisión. Consulta las guías de triaje forense enlazadas por CISA en su directiva BOD 26-04 y aplícalas a tus instalaciones WordPress.

4. Reforzar la postura de seguridad a medio plazo

Este tipo de fallos en el núcleo de WordPress son poco frecuentes, pero cuando aparecen afectan a millones de sitios. CISA recomienda evaluar la exposición a internet de cada activo WordPress y priorizar el parcheo según el riesgo. Aprovecha este incidente para mantener un inventario actualizado de todas las instalaciones WordPress de tu organización, incluidas las que “nadie usa” pero siguen online.

En resumen

• Actualiza WordPress hoy. La versión recomendada es la 7.1.2. Si usas una rama anterior, aplica la versión corregida correspondiente (hay parches retroportados hasta la 4.7.37).
• CISA confirma explotación activa y fija el 28 de septiembre de 2026 como fecha límite de remediación. Los sondeos contra sitios vulnerables empezaron horas después de publicarse el parche.
• Comprueba que la actualización se ha aplicado revisando la versión en el escritorio de WordPress.
• Haz triaje forense si sospechas que tu sitio pudo estar expuesto antes del parche, siguiendo las guías de CISA.
• Revisa tu inventario de sitios WordPress. Cada WordPress olvidado es una puerta abierta.