Seguridad WordPress 7.0.2: lo que tenés que saber

Actualizado el 02/09/2026 — Este artículo fue actualizado con información reciente sobre el parche 7.0.2, CVEs asociados, y expansión de temas según las búsquedas reales de usuarios.

El 17 de julio de 2026, WordPress lanzó una actualización de emergencia que cambió el panorama de seguridad del CMS. El parche seguridad wordpress 7.0.2 corrigió dos vulnerabilidades graves que afectaban a millones de sitios: una inyección SQL sencilla y una ejecución remota de código (RCE) sin necesidad de autenticación. Desde entonces, los ataques derivados y las campañas de explotación masiva confirmaron que el riesgo fue real. Hoy, con más de un mes transcurrido, el panorama cambió: algunos sitios siguen vulnerables, nuevas variantes de malware aprovechan los escapes aún sin parchear, y la pregunta que muchos empresarios en Argentina y la región se hacen es simple pero urgente: ¿sigue siendo seguro WordPress después de esto?

¿Qué es el parche WordPress 7.0.2? Es una actualización de seguridad crítica lanzada el 17 de julio de 2026 que resuelve una vulnerabilidad de ejecución remota de código (RCE) vía REST API y una inyección SQL de alto riesgo. La RCE permitía a un atacante ejecutar comandos arbitrarios en el servidor sin estar logueado, y según Matt Mullenweg, fue clasificada como uno de los RCE más serios en 23 años de historia del CMS. Afecta a WordPress 6.9, 6.8 y la beta de 7.1; versiones anteriores a 6.8 no están impactadas. El parche fue aplicado automáticamente en la mayoría de los sitios debido a su gravedad.

¿Qué versiones de WordPress están afectadas y cuándo se descubrieron estas vulnerabilidades?

Las versiones 6.9, 6.8 y la beta de 7.1 son las principales afectadas por las dos vulnerabilidades (CVE-2026-63030 para RCE y CVE-2026-60137 para la inyección SQL). La 6.9 sufre ambas; la 6.8 solo la inyección SQL. La beta de 7.1 también estaba comprometida hasta la salida de beta2. Versiones anteriores a 6.8 no están impactadas por estos dos fallos puntuales. El hallazgo fue reportado el 22 de julio de 2026 mediante divulgación responsable, y el parche se publicó el 17 de julio (nota: el equipo coordinó la respuesta antes de la publicación pública).

Versión	CVE-2026-63030 (RCE)	CVE-2026-60137 (SQL Injection)	Parche disponible
WordPress 6.9	Afectada	Afectada	6.9.5
WordPress 6.8	No afectada	Afectada	6.8.6
WordPress 7.1 beta	Afectada	Afectada	7.1 beta2
WordPress 7.0.x (antes de 7.0.2)	Afectada	Afectada	7.0.2
Versiones anteriores a 6.8	No afectada	No afectada	No aplica

Si tu instalación está en 6.7 o menos, zafaste de estas dos vulnerabilidades específicas. El tema es que si no actualizaste desde hace tiempo, probablemente tengas otros agujeros documentados y conocidos. Ojo con la falsa sensación de seguridad. En nuestra guía sobre configuración de Sucuri para WordPress profundizamos sobre cómo hacer auditorías regulares.

¿Qué tipos de vulnerabilidades se corrigieron en WordPress 7.0.2 y cuál es más grave?

Se corrigieron dos vulnerabilidades distintas, pero una es significativamente más peligrosa que la otra. La primera, identificada como CVE-2026-60137, es una inyección SQL sencilla reportada por el equipo compuesto por TF1T, dtro y haongo. Permite que un atacante manipule consultas a la base de datos, extraiga información sensible u modifique contenido sin autorización. Es grave, pero requiere conocimiento del esquema y de cómo se estructura la query vulnerable.

La segunda vulnerabilidad, CVE-2026-63030, reportada por Adam Kues de Assetnote (Searchlight Cyber), es una confusión en el enrutamiento por lotes de la REST API combinada con inyección SQL que deriva en ejecución remota de código (RCE). En cristiano: alguien sin autenticarse podía ejecutar comandos arbitrarios en tu servidor. Mullenweg lo puso en perspectiva en su blog personal: este tipo de RCE sin necesidad de estar logueado solo se vio «unas pocas veces» en los 23 años de historia de WordPress. Si tu sitio estaba expuesto, un atacante podía tomar control total del servidor — base de datos, archivos, configuración, todo.

Cómo funciona CVE-2026-63030 (el RCE)

El RCE aprovecha un fallo en cómo la REST API maneja las solicitudes por lotes (batch requests). La API esperaba que cada request individual en un lote fuera independiente, pero un atacante podía encadenar parámetros de una request a la siguiente. Si en la primera request inyectaba SQL maliciosa que afectaba a una variable global o al estado de la conexión, esa inyección persistía en las requests siguientes. Combinado con la inyección SQL de alto nivel, permitía ejecución remota. El atacante ni siquiera necesitaba saber dónde estaba el endpoint vulnerable — simplemente llamaba a la ruta `/wp-json/wp/v2/` con parámetros especialmente construidos y el servidor hacía el resto.

Cómo funciona CVE-2026-60137 (la inyección SQL)

Este fallo permite insertar código SQL maliciosa en los parámetros de una query de forma directa. Un atacante podría lanzar algo como `?id=1′ OR ‘1’=’1` y, si el parámetro no está sanitizado, la consulta cambiaría de sentido. En el contexto de la REST API, esto permitía leer datos privados de otros usuarios, modificar post, comentarios o metadata, o en combinación con CVE-2026-63030, lograr RCE.

¿Cuándo salió el parche 7.0.2 exactamente y cómo se aplicó?

El parche WordPress 7.0.2 se lanzó el 17 de julio de 2026. Debido a la gravedad de las vulnerabilidades, en particular CVE-2026-63030, WordPress.org activó actualizaciones forzadas automáticas mediante el sistema de auto-update para todos los sitios que corrían versiones afectadas. Esto fue un movimiento inédito: la mayoría de las actualizaciones son opcionales; esta fue obligatoria. Si tu sitio tiene auto-updates habilitados (configuración por defecto desde hace años), probablemente ya esté en 7.0.2 desde mediados de julio.

El equipo de seguridad de WordPress coordinó además con proveedores de hosting y CDNs globales para desplegar reglas de firewall a nivel de red que bloquearan los intentos de explotación incluso antes de que el parche estuviera disponible. Esto redujo significativamente la ventana de riesgo entre la divulgación y la aplicación masiva del parche.

¿Cómo actualizar tu sitio WordPress a la versión 7.0.2 o superior?

Lo ideal es que el parche ya se haya aplicado solo. Si tu sitio tiene auto-updates habilitados (lo que es default), probablemente esté actualizado desde hace semanas. Si querés verificarlo manualmente o tu instalación no se actualizó, seguí estos pasos:

• Hacé un backup completo. Base de datos y archivos. Si usás hosting argentino, muchos proveedores ofrecen backups automáticos diarios incluidos en el plan.
• Andá a Escritorio > Actualizaciones y clickeá «Actualizar ahora».
• Si no funciona desde el panel, descargá WordPress 7.0.2 o superior desde wordpress.org y hacé la actualización manual por FTP o SFTP.
• Revisá que el sitio funcione después del update. Formularios, pasarelas de pago y páginas con lógica custom son los primeros que pueden romper.
• Verificá la versión en Escritorio. Debe mostrar 7.0.2 o superior (mejor 7.0.3+, si está disponible).

¿Qué medidas de seguridad adicionales tomar después del parche?

Actualizar a la última versión es el piso, no el techo. El parche cierra estas dos vulnerabilidades puntuales, pero mañana aparece otra — y con los avances en modelos de IA para encontrar exploits, el ritmo no va a bajar. Mullenweg lo dijo explícito: «la seguridad va a ser un tema grande este año a medida que la industria tecnológica digiera los avances en modelos de IA». Las capas adicionales que siguen son no-optativas si tu sitio maneja datos de clientes, ventas o información sensible:

• Un WAF (Web Application Firewall). Reglas a nivel de red que bloquean intentos de explotar vulnerabilidades conocidas antes de que lleguen a WordPress. Muchos hostings ya lo incluyen.
• Autenticación en dos pasos (2FA). No alcanza con una contraseña fuerte. Si tu panel de administración no pide segundo factor, cualquier keylogger te deja regalado.
• Plugins y themes siempre al día. Un plugin abandonado con vulnerabilidad conocida es la puerta de entrada favorita. Si no se actualiza hace 12 meses, buscá alternativa.
• Principio de mínimo privilegio. El usuario de base de datos no necesita permisos DROP TABLE. El usuario admin no debería llamarse «admin». Cosas básicas que casi nadie revisa.
• Auditorías de seguridad periódicas. Herramientas como WP CLI, NinjaScanner o Sucuri SiteCheck tiran un panorama rápido de archivos modificados y configuraciones sospechosas. Una revisión cada tres meses es sentido común.

¿Qué hacer si no puedes actualizar WordPress inmediatamente?

Si por algún motivo no podés actualizar ya — un plugin incompatible, una migración en curso o dependencia de una versión específica — hay medidas temporales que reducen el riesgo. No reemplazan el parche, pero te dan margen mientras resolvés el problema de fondo.

• Deshabilitá la API REST si no la usás. Muchos sitios no necesitan la API REST pública. Con un plugin como Disable REST API o una regla en .htaccess podés bloquear el vector de ataque principal.
• Implementá reglas de WAF específicas. Si tu hosting lo permite, añadí reglas que bloqueen patrones de solicitudes por lotes maliciosas a la REST API.
• Restringí el acceso al panel por IP. Limitá el /wp-admin a direcciones IP conocidas mediante .htaccess. No detiene el RCE, pero reduce la superficie de ataque.
• Contactá a tu proveedor de hosting. WordPress coordinó mitigaciones a nivel de red con hosts y CDNs. Preguntá si tu proveedor aplicó esas reglas y si pueden darte protección temporal.

¿Cómo afecta esta vulnerabilidad a sitios con versiones anteriores a 6.8?

Las versiones anteriores a 6.8 no están afectadas por CVE-2026-63030 ni por CVE-2026-60137, según confirma el anuncio oficial. Si tu sitio corre WordPress 6.7 o inferior, estos dos fallos puntuales no te tocan. Pero eso no significa que estés libre de problemas. Las versiones viejas acumulan vulnerabilidades conocidas que fueron parcheadas en releases posteriores. Cuanto más atrás estés, más grande es la lista de fallos públicos que un atacante puede explotar automáticamente. Si estás en 6.7 o menos, aprovechá el envión de esta emergencia para planificar una actualización a la rama más reciente. El salto puede ser grande, pero el riesgo de quedarte atrás es peor.

¿Por qué un RCE en WordPress sin autenticación es tan grave?

Un RCE es exactamente lo que suena: un atacante logra ejecutar código arbitrario en tu servidor sin que le des permiso. Imaginate que dejás la puerta del datacenter abierta, pero peor, porque ni te enterás que entraron. El RCE de CVE-2026-63030 no requería autenticación. Cualquiera podía lanzar el ataque, sin usuario, sin contraseña, sin estar logueado. Simplemente hacía una llamada HTTP a `/wp-json/wp/v2/` con parámetros especialmente construidos y el servidor ejecutaba comandos.

¿Por qué fue tan grave? Porque la barrera de entrada era casi cero. No necesitabas ser ingeniero de seguridad para explotar esto — había pruebas de concepto públicas, scripts listos para usar. Un atacante con herramientas automatizadas podía scanear millones de sitios en horas y comprometer a los vulnerables antes de que alguien se diera cuenta. El equipo de seguridad de WordPress trabajó precisamente para esto: coordinaron con hosts y CDNs mitigaciones a nivel de red incluso antes de que el parche saliera. La divulgación responsable funcionó, pero la ventana de exposición fue real.

¿Qué significa la presencia de estas CVEs en la lista KEV de CISA?

La lista KEV (Known Exploited Vulnerabilities) de CISA es un registro oficial de vulnerabilidades que están siendo explotadas activamente en el wild. Que CVE-2026-63030 y CVE-2026-60137 estén ahí significa que no son fallos teóricos — son reales, están siendo usados en ataques concrtos, y hay evidencia documentada de compromisos. Esto amplifica la urgencia: no es un «podría pasar», es un «está pasando». La lista de CISA se publica para que organizaciones prioricen el patching; ver a WordPress ahí fue una alarma roja que aceleró actualizaciones en todo el mundo.

¿Qué es y cómo funciona un ataque de RCE en WordPress explicado en detalle?

Un RCE es un fallo de seguridad que permite a un atacante ejecutar código del servidor como si fuera un administrador. En el contexto de CVE-2026-63030, el flujo de ataque era así: el atacante enviaba una solicitud HTTP a la API REST con parámetros maliciosos encadenados en una estructura de lote. La API, en vez de procesar cada request del lote de forma aislada, permitía que variables y conexiones persistieran entre ellas. El atacante inyectaba SQL en la primera request que envenenaba el estado de la conexión. En la segunda request del lote, aprovechaba ese estado envenenado para ejecutar comandos SQL arbitrarios, que a su vez ejecutaban comandos del sistema operativo (a través de funciones como `eval()` o similares en PHP). El resultado: acceso total al servidor sin tocar un botón físico.

Según el análisis técnico publicado por Adam Kues, la vulnerabilidad específica explotaba la forma en que WordPress enrutaba las solicitudes en lote, permitiendo un ataque de tipo «parameter pollution» donde parámetros de una request contaminaban la siguiente. Mullenweg confirmó que esto fue uno de los RCE más limpios y eficientes que el equipo vio en años.

¿Qué significa para empresas y equipos en Latinoamérica?

En la región, donde muchas pymes y negocios digitales manejan sus propios sitios WordPress sin un equipo de sistemas dedicado, este parche tiene un peso extra. La actualización forzosa fue un alivio para quienes no monitorean el panel a diario — la mayoría — pero también dejó al descubierto cuántas instalaciones dependen de configuraciones automáticas que nadie revisa. Si tu sitio se actualizó solo y no te enteraste hasta hoy, es una señal clara de que hace falta una postura más activa frente a la seguridad.

El otro punto clave es la dependencia de plugins y themes que pueden no ser compatibles con la nueva versión. En Argentina y la región es común encontrar sitios con plugins heredados, temas comprados años atrás que nunca se actualizaron, o desarrollos a medida que alguien hizo y dejó de mantener. Una actualización forzosa como esta puede romper funcionalidades si hay incompatibilidades. La recomendación para equipos locales es doble: por un lado, revisar que todo funcione bien post-parche; por otro, ponerse al día con la deuda técnica de plugins y themes que dejaron de actualizarse. Si tu negocio depende de WordPress, tener un plan de mantenimiento no es un lujo, es un costo operativo más.

Señales de que tu WordPress fue infectado con malware o un webshell

Si tu sitio estuvo expuesto antes del parche — o sufriste algún otro ataque — hay síntomas que no deberías ignorar. Especialmente tras el aumento de campañas como «StopAndProtect» que instalan webshells para C2 y robo de credenciales, la vigilancia es crítica:

• Redirecciones fantasmas. Tu sitio manda visitantes a páginas de phishing, casinos o tiendas truchas sin que toques una línea de código. Esto aparece en logs de servidor como redirecciones 302/301 inesperadas.
• Archivos desconocidos en el servidor. Revisá `wp-content/uploads/`, `wp-content/plugins/` y las raíces de temas. Si encontrás PHP sueltos con nombres random como `wp-tmp-87423.php` o `shell.php`, tenés visita.
• Rendimiento que se va al tacho. Un pico de uso de CPU sin explicación suele ser señal de que tu servidor está minando criptomonedas o ejecutando código malicioso en background.
• Inyección de scripts en el código fuente. Mirás el HTML de tu página desde el navegador (botón derecho > Ver código fuente) y ves referencias a dominios .ru, .cn o .tk que vos nunca pusiste. Esto indica inyección de contenido.
• Errores 500 intermitentes. El atacante metió código roto o modificó archivos del core y ahora WordPress se tropieza a cada rato. Revisá los logs de error en `wp-content/debug.log` si lo tenés habilitado.
• Nuevos usuarios administrativos. En Usuarios del panel WordPress, si ves cuentas que no reconocés con rol administrator, un atacante probablemente creó una puerta trasera.
• Plugins o themes nuevos que no instalaste. Revisá la lista de plugins y themes activos. Si hay algo que no reconocés, desactivalo inmediatamente y eliminalo.

Si ves una sola de estas señales, no esperes a ver la segunda. Un sitio comprometido contamina la reputación de tu negocio, te mete en listas negras de Google y, si procesás pagos, puede causar quilombos legales con datos de clientes filtrados.

¿Sigue siendo seguro WordPress para una tienda online o negocio después de estos incidentes?

Sí. Con matices importantes. La pregunta real no es si WordPress es seguro en abstracto — es si tu instalación específica de WordPress es segura. Y eso depende de qué tan al día tengas todo, qué plugins uses, quién configuró el servidor y si alguien monitorea el sitio cuando vos estás durmiendo. Una tienda con WooCommerce puede ser perfectamente segura si mantenés el core, los plugins y el theme actualizados, usás un WAF, tenés backups automáticos diarios y limitás los accesos al mínimo necesario. Pero si instalás WooCommerce, 40 plugins random y no volvés a mirar el panel en seis meses, el problema no es WordPress, es la negligencia operativa.

La comparación con plataformas SaaS cerradas es injusta porque son arquitecturas distintas. Esas son más seguras porque no tocás nada — pero pagás una tarifa mensual y vivís dentro de sus limitaciones. WordPress es self-hosted: flexibilidad total pero responsabilidad total. Si tenés a alguien que se ocupe — vos o un equipo — WordPress es tan seguro como cualquier otra opción. El punto es que la seguridad es un proceso continuo, no un checklist de versiones. CVE-2026-63030 y CVE-2026-60137 fueron parcheadas; mañana habrá otras.

¿WordPress 7.0.2 corrige todas las vulnerabilidades conocidas?

No. Sería peligroso pensarlo así. Este release corrige dos vulnerabilidades específicas: CVE-2026-60137 (inyección SQL) y CVE-2026-63030 (RCE vía REST API batch-route). Cualquier otra vulnerabilidad — del core, de un plugin, de un theme o de la configuración del servidor — sigue ahí hasta que alguien la parchee. La seguridad es un proceso continuo. El parche 7.0.2 fue bien ejecutado, con respuesta rápida y coordinada. Pero mañana saldrá 7.0.3 y seguramente traiga otros fixes que hoy ni conocemos. Si querés profundizar en protección completa, mirá nuestra guía sobre medidas para protegerte de hackers.

Errores comunes al actualizar WordPress o reaccionar a un ataque

Después de años viendo sitios comprometidos y actualizaciones que salen mal, estos son los errores que se repiten:

• Actualizar sin backup. «No pasa nada, es un parche chiquito». Cuando falla — por incompatibilidad, timeout o lo que sea — quedás con medio WordPress roto sin forma de volver atrás. Backup primero, siempre.
• Borrarlo todo y reinstalar sin diagnóstico. Si tu sitio fue hackeado, reinstalar WordPress limpia los archivos del core pero NO elimina la puerta trasera en la base de datos o en un plugin. Sin análisis previo, reinstalás y a los tres días estás igual.
• Creer que el SSL es suficiente. Un certificado SSL encripta datos en tránsito. No protege contra inyecciones SQL, RCE ni contraseñas débiles. Es necesario, pero es una sola capa de varias.
• Dejar el debug log activado en producción. Si tu `wp-config.php` tiene `WP_DEBUG` en true, exponés rutas del servidor, errores de base de datos y info que un atacante agradece. En producción, debug off o log a archivo fuera del directorio público.
• No revisar los logs después del parche. Los archivos de log (`wp-content/debug.log` o logs del server) pueden indicar intentos fallidos de explotación pre-parche. Revisar qué pasó es valioso para evaluar si necesitás un escaneo más profundo.

Preguntas Frecuentes

¿Qué vulnerabilidades corrige WordPress 7.0.2?

Corrige dos: CVE-2026-60137 (inyección SQL) reportada por TF1T, dtro y haongo, y CVE-2026-63030 (RCE vía REST API batch-route) reportada por Adam Kues de Assetnote. La combinación de ambas permitía a un atacante sin autenticación ejecutar código arbitrario en el servidor.

¿Mi versión de WordPress es vulnerable a CVE-2026-63030 o CVE-2026-60137?

Si usás WordPress 6.9 o la beta de 7.1, estás expuesto a ambas CVEs. Si estás en 6.8, solo a CVE-2026-60137. Versiones anteriores a 6.8 no están afectadas. Revisá tu versión en Escritorio > Actualizaciones.

¿La actualización automática pudo romper mi sitio?

Es posible, sobre todo si tenés plugins o temas muy viejos incompatibles con 7.0. Por eso siempre conviene hacer backup antes de cualquier update, incluso de los forzosos. Si algo falla, podés restaurar y diagnosticar el conflicto en un entorno staging.

¿Qué hizo WordPress antes de lanzar el parche para proteger los sitios?

El equipo de seguridad coordinó con hosts y CDNs globales para desplegar reglas de firewall a nivel de red que bloquearan intentos de explotación de CVE-2026-63030 incluso antes de que el parche saliera. Esto redujo el riesgo durante la ventana crítica entre el hallazgo y la aplicación masiva.

¿Es CVE-2026-63030 realmente un RCE sin autenticación?

Sí. No necesitabas usuario, contraseña ni estar logueado. Una llamada HTTP simple a `/wp-json/wp/v2/` con parámetros maliciosos bastaba para ejecutar comandos arbitrarios en el servidor. Esto es lo que lo hace extraordinariamente peligroso.

¿Cómo protegerse si no puedo actualizar WordPress inmediatamente?

Deshabilitá la API REST si no la usás, aplicá reglas de WAF para bloquear patrones de ataque conocidos, restringí el acceso a /wp-admin por IP y contactá a tu hosting para ver si aplicaron mitigaciones a nivel de red. Son medidas temporales: actualizar sigue siendo la prioridad.

¿Qué tan grave fue la campaña «StopAndProtect» que se mencionó en las actualizaciones?

Afectó a casi 2.000 sitios WordPress que fueron comprometidos y convertidos en servidores de comando y control (C2) para distribuir malware y robar credenciales corporativas. Se detectó en agosto de 2026 y confirmó que CVE-2026-63030 estaba siendo explotado activamente en el wild, no de forma aislada.

¿Qué diferencia hay entre WordPress 7.0.2 y 7.0.3 si está disponible?

WordPress 7.0.3 es una versión posterior que incluye 7.0.2 más fixes adicionales descubiertos después. Si 7.0.3 está disponible en tu panel, actualizá a esa versión. Siempre preferible la versión más reciente de la rama.

¿WordPress 7.0.2 requiere cambios en mi configuración PHP?

No. El parche es compatible con todas las versiones soportadas de PHP. Si tu hosting mantiene PHP actualizado (7.4 o superior), no necesitás cambiar nada en la configuración. Solo asegurate de que el hosting permite la actualización automática a WordPress 7.0.2 o superior.

¿Qué pasó con los sitios que fueron explotados antes del parche?

Un sitio explotado mediante CVE-2026-63030 probablemente tenga webshells instaladas, usuarios administrativos no autorizados creados, o datos filtrados. Actualizar a 7.0.2 cierra la vulnerabilidad, pero NO elimina puertas traseras existentes. Si sospechas que fuiste comprometido, necesitás escaneo de malware profesional y limpieza profunda antes de confiar en tu sitio nuevamente.

¿Adam Kues de Assetnote es un hacker malicioso?

No. Adam Kues es un investigador de seguridad de Assetnote / Searchlight Cyber que descubrió CVE-2026-63030 y lo reportó responsablemente al equipo de seguridad de WordPress antes de revelarlo públicamente. Esto permitió que el equipo preparara el parche antes de que fuera explotado masivamente.

Conclusión

WordPress 7.0.2 pasó a ser la actualización más importante de 2026. Dos vulnerabilidades graves — CVE-2026-60137 para inyección SQL y CVE-2026-63030 para RCE sin autenticación — combinadas representaban un riesgo sin precedentes en años. La respuesta fue de libro: divulgación responsable, coordinación con la industria, mitigaciones a nivel de red pre-parche y actualización forzosa. El saldo fue positivo: la mayoría de los sitios vulnerables se actualizaron solos. Las campañas como «StopAndProtect» confirmaron después que el riesgo fue real, no teórico.

Lo que sigue es igual de importante. Las versiones anteriores a 6.8 no están en peligro por estos dos fallos, pero acumulan otros riesgos. Si estás en una rama vieja, este episodio es la excusa ideal para actualizar. Si ya estás en 7.0.2 o superior, el trabajo no termina: WAF, 2FA, backups diarios y auditoría de plugins cada tres meses son el mínimo estándar para un sitio que maneja datos, ventas o reputación de marca. La pregunta no es si va a haber otro ataque — va a haberlo — sino si tu sitio va a estar del lado de los que se actualizaron a tiempo o del lado de los que esperaron.

Fuentes

• WordPress 7.0.2 Release – WordPress News — Anuncio oficial del lanzamiento con detalle de las vulnerabilidades corregidas (17 de julio de 2026).
• Important Security Update – Matt Mullenweg — Post del cofundador de WordPress sobre la gravedad del RCE y la coordinación con hosts y CDNs (18 de julio de 2026).
• WordPress 7.0.2 – Actualización de seguridad — Versión en español del comunicado oficial (17 de julio de 2026).
• CISA Known Exploited Vulnerabilities (KEV) Catalog — Registro oficial donde CVE-2026-63030 y CVE-2026-60137 fueron catalogadas como activamente explotadas.
• CyberSecurityNews – StopAndProtect Campaign — Cobertura de la campaña masiva que comprometió casi 2.000 sitios WordPress (24/08/2026).
• SecurityWeek – Forminator Forms Vulnerability — Análisis de la vulnerabilidad de carga de archivos que afectaba 300.000 sitios (01/08/2026).
• GBHackers – WordPress Plugin Backdoor Detection — Reporte del backdoor en plugin popular que afectaba 20.000 sitios (08/08/2026).