WordPress ha publicado WordPress 7.0.4 como actualización de seguridad urgente para corregir una vulnerabilidad que puede permitir la ejecución remota de código en determinados servidores. El fallo, identificado como CVE-2026-65640, afecta a instalaciones que utilizan Imagick junto con Ghostscript y puede ser explotado por usuarios autenticados con permisos para subir archivos, incluidos perfiles con rol de Autor. El proyecto recomienda actualizar los sitios inmediatamente.
Las claves de WordPress 7.0.4 en 30 segundos
La vulnerabilidad fue descubierta y comunicada de forma responsable por el equipo de pwn.ai. El aviso de seguridad publicado por WordPress y GitHub explica que el problema se desencadena mediante la subida de un archivo PostScript malicioso que posteriormente es procesado por la infraestructura gráfica del servidor. La debilidad se encuentra relacionada con la forma en la que Ghostscript gestiona determinados archivos incrustados.
No todos los sitios WordPress pueden ser atacados directamente mediante esta técnica. Para que exista el escenario descrito deben cumplirse varias condiciones, entre ellas disponer de Imagick y Ghostscript en uso y que el atacante controle una cuenta con la capacidad upload_files.
Aun con esas condiciones, la gravedad es elevada. Una ejecución remota de código puede permitir que un usuario que inicialmente dispone de permisos relativamente limitados termine ejecutando instrucciones en el servidor, con consecuencias potenciales sobre la confidencialidad, integridad y disponibilidad de la web.
Una de las características importantes de CVE-2026-65640 es que no se trata de una vulnerabilidad accesible directamente para cualquier visitante anónimo.
El atacante necesita autenticarse previamente en WordPress y disponer de permisos para subir archivos.
El aviso de seguridad sitúa el nivel mínimo habitual en Autor o superior, porque ese rol dispone normalmente de la capacidad necesaria para cargar contenido multimedia. La configuración de permisos puede variar entre instalaciones, especialmente cuando existen plugins que crean nuevos roles o modifican las capacidades predeterminadas.
Esto reduce la superficie de ataque respecto a una vulnerabilidad completamente remota y sin autenticación, pero no convierte el problema en menor.
Un sitio con múltiples autores, colaboradores externos, cuentas de clientes o usuarios comprometidos puede ofrecer precisamente el punto de entrada necesario. También debe contemplarse el robo previo de credenciales mediante phishing, reutilización de contraseñas o malware.
El advisory asigna al fallo una puntuación CVSS 3.0 de 8,8 sobre 10, clasificada como severidad alta. El vector contempla ataque a través de red, complejidad baja, privilegios bajos, ausencia de interacción adicional por parte de la víctima y un impacto alto sobre confidencialidad, integridad y disponibilidad.
En otras palabras, el atacante necesita conseguir primero una cuenta válida, pero una vez dentro las condiciones técnicas necesarias para aprovechar el fallo no se consideran especialmente complejas.
La vulnerabilidad también recuerda que WordPress no funciona de manera aislada.
Una instalación depende de PHP, del servidor web, del sistema operativo y de múltiples bibliotecas externas utilizadas para tareas como procesamiento de imágenes.
Imagick es la extensión PHP que permite interactuar con ImageMagick para transformar diferentes formatos gráficos. Ghostscript, por su parte, es una herramienta ampliamente utilizada para procesar formatos como PostScript y PDF.
En determinadas configuraciones, WordPress puede entregar archivos cargados por un usuario a esta cadena de procesamiento.
Según el aviso publicado, CVE-2026-65640 permite aprovechar un archivo PostScript preparado específicamente para provocar que Ghostscript procese contenido peligroso. WordPress identifica el problema dentro de la categoría CWE-434, correspondiente a la carga sin restricciones adecuadas de tipos de archivo peligrosos que posteriormente son procesados por el sistema.
La corrección introducida en WordPress pretende impedir que ese flujo pueda utilizarse para alcanzar ejecución remota de código.
Este tipo de vulnerabilidades resulta especialmente delicado porque una función aparentemente cotidiana, subir una imagen o archivo multimedia, termina conectada con herramientas del sistema que manejan formatos complejos.
No es la primera vez que bibliotecas de procesamiento de documentos e imágenes se convierten en un objetivo de seguridad. Cuanto mayor es la cantidad de formatos que interpreta un software, más código interviene en analizar entradas proporcionadas potencialmente por terceros.
WordPress 7.0.4 es la versión corregida dentro de la rama actual.
El advisory de GitHub identifica como afectadas las versiones 7.0.0 a 7.0.3, además de una larga lista de ramas anteriores que llega hasta WordPress 4.7.
Para reducir el riesgo en instalaciones antiguas, el proyecto ha decidido realizar backports de la corrección. Entre las versiones parcheadas aparecen 6.9.7, 6.8.8, 6.7.7 y sucesivas revisiones de seguridad hasta WordPress 4.7.35.
Esto no debe interpretarse como una extensión general del soporte de todas esas versiones.
El propio equipo de WordPress recuerda que solo la versión más reciente está activamente soportada y define estas correcciones para ramas antiguas como una medida de cortesía destinada a reducir la exposición mientras los administradores completan sus actualizaciones.
La diferencia es importante para organizaciones que mantienen instalaciones heredadas.
Recibir un parche puntual no significa que una versión antigua vaya a seguir obteniendo todas las correcciones de compatibilidad, estabilidad y seguridad futuras. El objetivo debería continuar siendo migrar hacia una versión mantenida siempre que plugins, temas y aplicaciones internas lo permitan.
WordPress ha indicado además que la corrección también se incorpora a WordPress 7.1 RC3, la versión candidata de la siguiente actualización principal.
La recomendación principal es sencilla: actualizar.
Los sitios que ya utilizan WordPress 7 pueden instalar WordPress 7.0.4 desde Escritorio → Actualizaciones → Actualizar ahora. Las instalaciones que permiten actualizaciones automáticas en segundo plano comenzarán a recibir la nueva versión sin intervención manual.
En entornos empresariales o con procedimientos de gestión del cambio puede ser conveniente realizar primero una copia de seguridad y verificar la actualización en staging, pero la existencia de una vulnerabilidad de ejecución remota aconseja que esa validación no se prolongue innecesariamente.
También resulta recomendable identificar si el servidor utiliza Imagick y Ghostscript.
En Linux puede comprobarse la presencia de Ghostscript desde terminal con comandos como:
gs --versiony revisar Imagick dentro de PHP mediante:
php -m | grep imagickLa ausencia de alguno de esos componentes elimina una de las condiciones necesarias descritas en el advisory, pero no debería utilizarse como argumento para permanecer indefinidamente en una versión vulnerable.
Actualizar WordPress también evita depender de que la configuración actual del servidor permanezca igual. Un cambio futuro en PHP, una migración de hosting o la instalación de nuevas dependencias podría modificar esas condiciones.
Los administradores deberían además revisar qué usuarios disponen de capacidad para subir archivos. En muchas instalaciones existen cuentas antiguas de redactores, colaboradores o proveedores que mantienen permisos aunque ya no necesiten acceder al sitio.
Reducir cuentas innecesarias y aplicar autenticación multifactor cuando sea posible sigue siendo una medida complementaria importante.
CVE-2026-65640 resulta interesante porque el problema no está relacionado con un plugin de terceros poco mantenido, sino con el propio flujo de WordPress Core y herramientas comunes de procesamiento multimedia.
La seguridad de una instalación depende de toda la pila.
Mantener WordPress actualizado no sirve de mucho si el servidor utiliza versiones antiguas de PHP o bibliotecas vulnerables. Del mismo modo, mantener Linux actualizado no resuelve un plugin abandonado que permite cargar archivos arbitrarios.
En este caso, WordPress ha actuado sobre la capa que controla para evitar que un usuario con permisos de subida pueda utilizar determinadas capacidades de Ghostscript para alcanzar ejecución de código.
También muestra por qué el principio de mínimo privilegio continúa teniendo valor incluso dentro de un CMS.
Un usuario Autor necesita publicar contenido, pero no debería tener más capacidades de las necesarias. Cuanto más limitados estén los permisos, menor será la cantidad de funciones que puede aprovechar una cuenta comprometida.
WordPress 7.0.4 llega exclusivamente como actualización de seguridad, no como una versión destinada a introducir nuevas funciones. Por eso el mensaje del proyecto es especialmente directo: los administradores deberían instalarla cuanto antes.
Corrige CVE-2026-65640, una vulnerabilidad que puede permitir ejecución remota de código mediante la subida de un archivo PostScript malicioso en determinados servidores que utilizan Imagick y Ghostscript.
No. El atacante necesita autenticarse y disponer de la capacidad de subir archivos, normalmente asociada al rol Autor o a perfiles superiores. También deben estar presentes Imagick y Ghostscript en el servidor.
El advisory oficial le asigna una puntuación CVSS de 8,8 sobre 10, correspondiente a severidad alta.
Los sitios compatibles con actualizaciones automáticas comenzarán a recibir WordPress 7.0.4, pero los administradores deberían comprobar que la actualización se haya completado correctamente y verificar la versión instalada.
