Qué ha pasado
El 28 de octubre, WordPress publicó la versión 7.1.4. No trae funciones nuevas: es una actualización de seguridad que corrige 22 fallos en el propio núcleo de WordPress, es decir, en la base sobre la que funciona cualquier web hecha con este sistema, tenga los plugins que tenga.
El fallo más serio está en el propio proceso de actualización y, según los analistas de Patchstack, podría permitir en determinadas condiciones ejecutar código en el servidor sin necesidad de usuario ni contraseña. Lo califican con una puntuación de 9 sobre 10, aunque también señalan que es difícil de aprovechar en la práctica. El resto son fallos de menor gravedad, la mayoría de tipo XSS: permiten colar código malicioso en la web, por ejemplo a través de bloques del editor o del personalizador.
A fecha de hoy, las fuentes consultadas no confirman ataques reales aprovechando estos fallos. Pero la experiencia dice que, cuando se publica un parche, los atacantes estudian qué arregla y empiezan a buscar webs que no lo han instalado. Por eso lo importante es no quedarse atrás.
¿Te afecta?
Sí, si la web de tu empresa está hecha con WordPress y tiene una versión anterior a la 7.1.4. Para webs que sigan en ramas antiguas, WordPress ha publicado también parches propios (por ejemplo 7.0.8 o 6.9.11), pero la única rama con soporte completo es la 7.1.
La mayoría de instalaciones aplican estas actualizaciones de forma automática, pero no siempre ocurre: a veces la agencia o el programador las desactivó para evitar problemas, o el servidor no tiene permisos para escribir los archivos y la actualización falla sin avisar. Si usas el plugin Gutenberg, además tiene que estar en la versión 24.3.0 o superior para recibir parte de los arreglos.
No saber si tu web está al día es justo la situación más habitual en una pyme, y una web desactualizada es una de las vías de entrada más típicas cuando una empresa acaba hackeada.
Qué hacer hoy
- Mira la versión. Entra en el escritorio de WordPress y ve a «Escritorio» → «Actualizaciones». Debe indicar que tienes la 7.1.4 (o el parche de tu rama). Si no tienes acceso, pide hoy a quien te mantiene la web que te lo confirme por escrito.
- Haz copia y actualiza. Antes de pulsar «Actualizar», comprueba que tienes una copia de seguridad reciente de la web y de la base de datos (tu hosting suele hacerlas). Después actualiza también los plugins y el tema.
- Comprueba que las actualizaciones automáticas funcionan. En la misma pantalla debería aparecer que las actualizaciones de seguridad se instalan solas. Si están desactivadas, acuerda con tu proveedor quién se encarga de aplicarlas y en cuánto tiempo.
Si nadie en tu empresa sabe quién mantiene la web o cómo está configurada, es buen momento para ponerle remedio. En Ovnar podemos revisarla dentro de una auditoría de ciberseguridad.
¿Quieres saber cómo está tu empresa?
Con tu autorización, revisamos desde fuera tu web, tu correo y si tu dominio aparece en filtraciones. Gratis, sin tocar tus sistemas y con el resultado explicado en una llamada de 30 minutos.
Pedir mi análisis gratuito