Seguridad WordPress 7.0.2: lo que tenés que saber

El 17 de julio de 2026, WordPress lanzó la versión 7.0.2, un parche de seguridad wordpress 7.0.2 que corrige dos vulnerabilidades graves: una inyección SQL sencilla y un fallo crítico de ejecución remota de código (RCE) en la REST API. El equipo activó actualizaciones forzadas para todos los sitios afectados, y Matt Mullenweg calificó el RCE como uno de los más serios en los 23 años de historia del CMS.

La seguridad wordpress 7.0.2 es una actualización de emergencia publicada por WordPress.org el 17 de julio de 2026 que resuelve una vulnerabilidad crítica de ejecución remota de código (RCE) vía REST API y una inyección SQL de alta gravedad. Afecta a las versiones 6.9, 6.8 y la beta de 7.1, y ya están disponibles los parches 7.0.2, 6.9.5, 6.8.6 y 7.1 beta2 para cada rama.

¿Qué vulnerabilidades críticas corrige WordPress 7.0.2?

Dos. Una es heavy, la otra es crítica y fue la que encendió todas las alarmas. La primera es una inyección SQL sencilla reportada por el equipo compuesto por TF1T, dtro y haongo. Este tipo de fallo permite que un atacante manipule consultas a la base de datos y extraiga información sensible o modifique contenido sin autorización.

La segunda vulnerabilidad, reportada por Adam Kues de Assetnote / Searchlight Cyber, es una confusión en el enrutamiento por lotes de la REST API combinada con inyección SQL que deriva en ejecución remota de código (RCE). En cristiano: alguien sin autenticarse podía ejecutar comandos arbitrarios en tu servidor. Mullenweg lo puso en perspectiva en su blog personal: este tipo de RCE pre-autorización solo se vio «unas pocas veces» en los 23 años de historia de WordPress (la última, según él, fue en la clase PHPMailer hace cinco años). Si tu sitio estaba expuesto, un atacante podía tomar control total del servidor — base de datos, archivos, configuración, todo. Para más detalles técnicos, mirá cómo configurar Sucuri en WordPress.

¿Cómo sé si mi sitio WordPress está afectado por estas vulnerabilidades?

Fijate en la versión que estás corriendo. Entrá al panel de administración, andá a Escritorio > Actualizaciones y leé el número de versión que aparece ahí arriba. Si ves algo de esta lista, estabas en la zona de peligro:

Si tu instalación está en 6.7 o menos, zafaste de esta. El tema es que si no actualizaste desde hace tiempo, probablemente tengas otros agujeros que ya están documentados y son conocidos por cualquiera que sepa usar un buscador de exploits. Ojo con la falsa sensación de seguridad.

Pasos para actualizar a WordPress 7.0.2 de forma segura

Lo ideal es que el parche ya se haya aplicado solo. Debido a la gravedad, WordPress.org activó actualizaciones forzadas mediante el sistema de auto-update para todos los sitios que corrían versiones afectadas. Entonces, si tu sitio tiene auto-updates habilitados (que es la configuración por default), probablemente ya esté en 7.0.2.

Si querés verificarlo manualmente o tu instalación no se actualizó por algún motivo —tipo permisos de archivos, configuraciones personalizadas o un hosting que restringe las automáticas—, hacé esto:

• Hacé un backup completo. Base de datos y archivos. Si usás Donweb, verificá si tu plan incluye backups automáticos diarios; muchos hostings argentinos ya los ofrecen sin costo extra.
• Andá a Escritorio > Actualizaciones y clickeá «Actualizar ahora».
• Si no funciona desde el panel, descargá WordPress 7.0.2 desde wordpress.org y hacé la actualización manual por FTP.
• Revisá que el sitio funcione después del update, especialmente formularios, pasarelas de pago y páginas con lógica custom.

¿Qué es y cómo funciona un ataque de Remote Code Execution (RCE) en WordPress?

Un RCE es exactamente lo que suena: un atacante logra ejecutar código arbitrario en tu servidor sin que le des permiso. Ponele que dejás la puerta del datacenter abierta, pero peor, porque ni te enterás que entraron. En este caso concreto, el fallo combinaba una confusión en cómo la REST API manejaba las solicitudes por lotes con una inyección SQL. El atacante enviaba una request preparada, la API se confundía al rutear los parámetros, la consulta maliciosa llegaba a la base de datos y de ahí ejecutaba comandos en el sistema operativo. Te puede servir nuestra cobertura de implementar autenticación de dos factores.

¿Por qué fue tan grave este? Porque no requería autenticación. Cualquiera podía lanzar el ataque, sin tener usuario ni contraseña, sin estar logueado, sin nada. Según Matt Mullenweg, el equipo de seguridad de WordPress trabajó con hosts y CDNs para mitigar el ataque a nivel de red incluso antes de que el parche saliera. La divulgación responsable funcionó: los investigadores reportaron en privado, el equipo actuó, y cuando el parche se publicó, la mayoría de los sitios ya estaban protegidos por las reglas de firewall de sus proveedores de hosting. ¿Alguien lo explotó masivamente antes? No hay evidencia pública de que haya pasado hasta el 17 de julio, pero con un vector de ataque tan limpio, la ventana de exposición era real.

Señales de que tu WordPress fue infectado con malware

Si tu sitio estuvo expuesto antes del parche —o sufriste algún otro ataque—, hay síntomas que no deberías ignorar. La mayoría de los malware para WordPress no son elegantes; dejan mugre visible si sabés dónde mirar:

• Redirecciones fantasmas. El clásico «virus de redireccionamiento WordPress»: tu sitio manda visitantes a páginas de phishing, casinos o tiendas truchas sin que toques una línea de código.
• Archivos desconocidos en el servidor. Revisá wp-content/uploads/ y las raíces de los plugins. Si encontrás PHP sueltos con nombres random tipo wp-tmp-87423.php, tenés visita.
• Rendimiento que se va al tacho. Un pico de uso de CPU sin explicación suele ser señal de que tu servidor está minando criptomonedas para alguien más (sí, en serio, es más común de lo que parece).
• Inyección de scripts en el código fuente. Mirás el HTML de tu página y ves referencias a dominios .ru, .cn o .tk que vos nunca pusiste.
• Errores 500 intermitentes. El atacante metió código roto o modificó archivos del core y ahora WordPress se tropieza a cada rato.

El punto es que si ves una sola de estas señales, no esperes a ver la segunda. Un sitio comprometido contamina la reputación de tu negocio, te mete en listas negras de Google y, si procesás pagos, te puede meter en un quilombo legal con datos de clientes filtrados.

Estrategias de seguridad para mantener tu WordPress protegido

Actualizar a la última versión es el piso, no el techo. El parche 7.0.2 cierra estas dos vulnerabilidades puntuales, pero mañana aparece otra — y con los avances en modelos de IA para encontrar exploits, el ritmo no va a bajar. Mullenweg lo dijo explícito: «la seguridad va a ser un tema grande este año a medida que la industria tecnológica digiera los avances increíbles en modelos de IA».

¿Qué más podés hacer además de mantener el core actualizado? Acá van algunas capas que no son optativas si tu sitio maneja datos de clientes, ventas o información sensible: Sobre eso hablamos en la guía completa de 2FA.

• Un WAF (Web Application Firewall). Reglas a nivel de red que bloquean intentos de explotar vulnerabilidades conocidas antes de que lleguen a WordPress. Muchos hostings ya lo incluyen — fijate si el tuyo lo tiene activado por defecto.
• Autenticación en dos pasos (2FA). No alcanza con una contraseña fuerte. Si tu panel de administración no pide segundo factor, cualquier keylogger o filtración de credenciales te deja regalado.
• Plugins y themes siempre al día. Un plugin abandonado con una vulnerabilidad conocida es la puerta de entrada favorita. Si no se actualiza hace 12 meses, buscá alternativa o mandate a arreglarlo vos si tenés con qué.
• Principio de mínimo privilegio. El usuario de la base de datos no necesita permisos de DROP TABLE para funcionar. El usuario administrador de WordPress no debería llamarse «admin». Cosas básicas que casi nadie revisa.
• Auditorías de seguridad periódicas. Herramientas como WP CLI, NinjaScanner o Sucuri SiteCheck te tiran un panorama rápido de archivos modificados y configuraciones sospechosas. Con el ruido que hay ahora sobre seguridad y WordPress, una revisión cada tres meses no es paranoia, es sentido común.

¿Sigue siendo seguro WordPress para una tienda online o negocio?

Sí. Con matices. La pregunta no es si WordPress es seguro en abstracto — es si tu instalación de WordPress es segura. Y eso depende de qué tan al día tengas todo, qué plugins uses, quién configuró el servidor y si alguien monitorea el sitio cuando vos estás durmiendo. Una tienda con WooCommerce puede ser perfectamente segura si mantenés el core, los plugins y el theme actualizados, usás un WAF, tenés backups automáticos y limitás los accesos al mínimo necesario.

La comparación con Shopify es injusta porque son arquitecturas distintas: Shopify es SaaS, el servidor no lo tocás, el hosting lo manejan ellos, y el perímetro de seguridad es enorme pero inflexible. WordPress es self-hosted: flexibilidad total pero responsabilidad total. Si tenés a alguien que se ocupa —vos o un equipo—, WordPress no es menos seguro. Si instalás WooCommerce, 40 plugins random y no volvés a mirar el panel en seis meses, el problema no es WordPress.

¿WordPress 7.0.2 corrige todas las vulnerabilidades conocidas?

No. Y sería peligroso pensarlo así. Este release corrige dos vulnerabilidades específicas: la inyección SQL sencilla y el RCE vía REST API batch-route. Cualquier otra vulnerabilidad —sea del core, de un plugin, de un theme o de la configuración del servidor— sigue ahí hasta que alguien la parchee. La seguridad es un proceso continuo, no un checklist de versiones. La 7.0.2 es un parche de emergencia bien ejecutado, con respuesta rápida y coordinada. Pero mañana sale la 7.0.3 o la 7.1 y seguramente traiga otros fixes que hoy ni conocemos.

Errores comunes al actualizar WordPress o reaccionar a un ataque

Después de años viendo sitios comprometidos y actualizaciones que salen mal, estos son los errores que veo una y otra vez: En proteger tu sitio contra hackers profundizamos sobre esto.

• Actualizar sin backup. «No pasa nada, es un parche chiquito». Cuando falla —por incompatibilidad con un plugin, por timeout, por lo que sea—, te quedás con medio WordPress roto y sin forma de volver atrás. Backup primero, siempre.
• Borrarlo todo y reinstalar sin diagnóstico previo. Si tu sitio fue hackeado, reinstalar WordPress limpia los archivos del core pero no necesariamente elimina la puerta trasera que el atacante dejó en la base de datos o en un plugin. Sin análisis previo, reinstalás y a los tres días estás igual.
• Creer que el SSL es suficiente protección. Un certificado SSL encripta los datos en tránsito. No te protege contra inyecciones SQL, RCE ni contraseñas débiles. Es necesario, pero es una sola capa de varias.
• Dejar el debug log activado en producción. Si tu wp-config.php tiene WP_DEBUG en true, estás exponiendo rutas del servidor, errores de base de datos y un montón de información que un atacante agradece. En producción, debug off o log a archivo fuera del directorio público.

Preguntas Frecuentes

¿WordPress 7.0.2 corrige todas las vulnerabilidades?

No. WordPress 7.0.2 corrige exclusivamente dos vulnerabilidades: una inyección SQL sencilla reportada por TF1T, dtro y haongo, y un RCE vía REST API batch-route reportado por Adam Kues de Assetnote. Cualquier otro fallo, sea del core, de plugins o de la configuración del servidor, requiere sus propios parches y no está cubierto por este release.

¿Mi web con WordPress fue hackeada, qué hago?

Primero, no entres en pánico y no borres todo sin diagnosticar. Poné el sitio en modo mantenimiento, cambiá todas las contraseñas (FTP, base de datos, panel de WordPress), revisá los archivos modificados recientemente y escaneá con una herramienta de seguridad como NinjaScanner. Si no tenés backup limpio, contratá a alguien que sepa hacer limpieza de malware; un restablecimiento sin análisis previo suele dejar puertas traseras intactas. Si el hosting no te ayuda, mudarte a uno con soporte especializado en WordPress —como Donweb— puede ahorrarte semanas de dolor de cabeza.

¿Sigue siendo seguro WordPress para una tienda online?

Sí, siempre que mantengas el core, los plugins y el theme actualizados, uses un firewall (WAF), tengas autenticación en dos pasos y hagas backups automáticos diarios. WooCommerce corre sobre WordPress y hereda su modelo de seguridad: la responsabilidad es del dueño del sitio, no de un proveedor SaaS. Con las prácticas adecuadas, una tienda con WordPress y WooCommerce no es menos segura que Shopify o cualquier alternativa.

¿Cómo actualizar WordPress a la versión 7.0.2 sin perder datos?

El método más seguro es: 1) hacé un backup completo de archivos y base de datos, 2) andá a Escritorio > Actualizaciones y clickeá «Actualizar ahora», 3) verificá que el sitio funcione correctamente revisando formularios, pasarelas de pago y páginas con lógica custom. La actualización en sí no modifica tus contenidos, pero un conflicto con un plugin desactualizado puede romper funcionalidades. Si eso pasa, restaurás el backup y diagnosticás el plugin conflictivo en un entorno de staging.

¿Qué es el fallo de SQL injection en WordPress 7.0.2?

Es una vulnerabilidad de alta gravedad que permitía a un atacante manipular consultas a la base de datos de WordPress mediante parámetros no saneados. Fue reportada por el equipo de TF1T, dtro y haongo. Combinada con el fallo de REST API batch-route, podía escalar hasta ejecución remota de código, dándole al atacante control total del servidor.

Conclusión

WordPress 7.0.2 no es noticia por lo que agrega, sino por lo que evita. Dos vulnerabilidades graves, una de ellas con potencial de RCE pre-autorización —algo rarísimo en la historia del CMS—, y una respuesta coordinada entre investigadores, el equipo de seguridad, hosts y CDNs que permitió mitigar el ataque antes de que se destapara. El parche forzado fue la decisión correcta, por más que a algunos administradores les moleste perder el control sobre las actualizaciones automáticas.

Lo que queda después de este episodio es un recordatorio de que WordPress sigue siendo un blanco gigante —alimenta más del 40% de la web— y que la seguridad no se delega en un solo parche. Si tu negocio depende de WordPress, la actualización inmediata es el primer paso, pero el segundo, el tercero y el cuarto son igual de importantes: WAF, 2FA, backups, auditorías y una postura de mínimo privilegio en cada capa del stack. La pregunta no es si va a haber otro ataque —va a haberlo—, sino si tu sitio va a estar del lado de los que se actualizaron a tiempo o del lado de los que esperaron a ver qué pasaba.

Fuentes

• WordPress 7.0.2 Release – WordPress News — Anuncio oficial del lanzamiento con detalle de las vulnerabilidades corregidas (17 de julio de 2026).
• Important Security Update – Matt Mullenweg — Post del cofundador de WordPress sobre la gravedad del RCE y la coordinación con hosts y CDNs (18 de julio de 2026).
• WordPress 7.0.2 – Actualización de seguridad — Versión en español del comunicado oficial con las mismas especificaciones técnicas (17 de julio de 2026).
• BBC News – WordPress security — Cobertura periodística sobre los ataques de malware recurrentes en sitios empresariales con WordPress (julio de 2026).