WordPress 7.0.4 corrige una vulnerabilidad de ejecución remota de código que afecta a determinadas instalaciones capaces de procesar archivos con Imagick y Ghostscript. El fallo, identificado como CVE-2026-65640, requiere una cuenta autenticada con permiso para subir archivos, pero puede tener consecuencias graves si se cumplen las condiciones del servidor.
La actualización se publicó el 12 de agosto de 2026 como versión de seguridad. Si tu sitio todavía funciona con WordPress 7.0, debes instalar 7.0.4. En una instalación que pueda actualizarse a la rama actual, la opción preferible es pasar a WordPress 7.1, que ya está disponible.
Las claves de WordPress 7.0.4 en 20 segundos
upload_files, normalmente asociada a Autor o a un perfil superior.WordPress recomienda instalar la actualización cuanto antes. El anuncio oficial de WordPress 7.0.4 identifica al equipo de pwn.ai como responsable de la comunicación del problema. El aviso técnico publicado en GitHub detalla las condiciones, la puntuación y las versiones afectadas.
La vulnerabilidad permite que un usuario autenticado con permiso para subir archivos envíe un archivo PostScript preparado para provocar un procesamiento peligroso. En los servidores afectados, Ghostscript puede interpretar determinados elementos incrustados y abrir un camino hacia la ejecución de código.
El problema se relaciona con la carga de tipos de archivo peligrosos y aparece catalogado como CWE-434. No basta con que WordPress permita subir imágenes: también debe intervenir la cadena de procesamiento formada por Imagick y Ghostscript. Por eso no todas las instalaciones presentan exactamente el mismo riesgo.
Eso no convierte el fallo en teórico. Una cuenta de Autor comprometida, una contraseña reutilizada o un usuario externo al que se le hayan concedido permisos de forma permanente pueden ser suficientes para alcanzar el punto de entrada. Si después el servidor procesa el archivo con la configuración vulnerable, el atacante podría ejecutar instrucciones con el nivel de permisos del proceso web.
La puntuación CVSS 3.0 de 8,8 sobre 10 refleja una vulnerabilidad de severidad alta. El atacante necesita privilegios bajos, pero el aviso considera baja la complejidad del ataque y alto el impacto potencial sobre la confidencialidad, la integridad y la disponibilidad del sitio.
El escenario descrito por WordPress exige que se cumplan varias condiciones a la vez:
upload_files.El rol Autor suele disponer de la capacidad de subir archivos, aunque los plugins de gestión de usuarios pueden crear perfiles distintos con permisos equivalentes. Por eso no conviene revisar únicamente el nombre del rol: hay que comprobar las capacidades efectivas de cada cuenta.
Los visitantes anónimos no pueden explotar directamente este fallo según el aviso. Aun así, una cuenta autenticada no siempre es una cuenta de confianza. En webs con varios redactores, colaboradores, clientes o integraciones externas, una credencial robada puede convertirse en el primer paso de un ataque mayor.
El cambio principal de la versión afecta a wp-includes/class-wp-image-editor-imagick.php. WordPress ha modificado el flujo que utiliza para procesar imágenes con Imagick y evitar que una subida controlada por un usuario pueda aprovechar el comportamiento peligroso de Ghostscript.
Actualizar WordPress es la forma recomendada de aplicar la corrección. Desactivar Imagick o Ghostscript puede reducir la exposición en algunos servidores, pero no sustituye al parche porque cambia el funcionamiento multimedia y deja la instalación pendiente de una solución permanente.
Si administras el servidor, puedes comprobar si Imagick está cargado en PHP con una orden como esta:
php -m | grep -i imagickLa presencia de la extensión no demuestra por sí sola que WordPress esté utilizando ese camino en todas las subidas, pero sirve como primera pista. Ghostscript puede comprobarse con:
gs --versionSi no tienes acceso a la terminal, consulta al proveedor de hosting o revisa la información de salud del sitio. En cualquier caso, no retrases la actualización a la espera de confirmar la configuración exacta.
El aviso de seguridad marca como vulnerables WordPress 7.0.0 a 7.0.3. La corrección llegó en WordPress 7.0.4. También se publicaron parches para ramas antiguas, entre ellas 6.9.7, 6.8.8, 6.7.7, 6.6.7, 6.5.10 y las revisiones equivalentes hasta 4.7.35.
Estas versiones antiguas reciben el arreglo como medida de cortesía. WordPress recuerda que solo la versión más reciente cuenta con soporte activo, así que instalar un parche de una rama antigua no ofrece el mismo nivel de cobertura que actualizar a una versión mantenida.
La publicación de WordPress 7.1 el 19 de agosto de 2026 cambia la decisión para muchos administradores. Si el tema y los plugins son compatibles, conviene actualizar a la rama actual en lugar de permanecer en 7.0.4. Antes de hacerlo, prueba el sitio en una copia o entorno de pruebas, sobre todo si depende de plugins antiguos o de personalizaciones propias.
Las actualizaciones automáticas en segundo plano pueden instalar 7.0.4 en sitios compatibles, pero no conviene dar por hecho que el proceso terminó bien. Comprueba la versión después de unas horas y revisa los registros si aparecen errores en el panel o en la biblioteca de medios.
Si el sitio ha estado expuesto con una versión vulnerable y existe una cuenta que no reconoces, actualiza, cambia las contraseñas y revisa los usuarios y las acciones recientes. La actualización corrige el fallo de WordPress, pero no puede borrar una puerta trasera que ya se hubiera instalado antes.
También es buen momento para revisar las copias de seguridad y el plan de recuperación. Una copia que nunca se ha restaurado no garantiza que puedas volver atrás si el sitio presenta problemas después de la actualización.
CVE-2026-65640 recuerda que la seguridad de WordPress depende de más piezas que el núcleo. PHP, el sistema operativo, las extensiones y las bibliotecas que procesan imágenes forman parte del mismo recorrido.
La capacidad upload_files debe concederse solo a las cuentas que la necesiten. Conviene retirar usuarios antiguos, evitar contraseñas reutilizadas y activar autenticación multifactor cuando el sitio y los servicios utilizados lo permitan.
Para quienes desarrollan plugins, la vulnerabilidad también subraya la importancia de validar tipos de archivo y no enviar entradas controladas por usuarios a herramientas externas sin las medidas adecuadas. La corrección de WordPress cubre su propio flujo, pero una extensión puede abrir otros caminos si procesa archivos por su cuenta.
Fuente: WordPress.org y advisory técnico de WordPress.
Corrige CVE-2026-65640, un fallo de ejecución remota de código mediante una subida maliciosa en determinadas instalaciones que utilizan Imagick y Ghostscript.
No. El escenario requiere una cuenta autenticada con la capacidad upload_files, normalmente asociada al rol Autor o a perfiles superiores, además de la configuración vulnerable del servidor.
El aviso oficial le asigna una puntuación CVSS de 8,8 sobre 10 y una severidad alta.
Puede reducir una de las condiciones del ataque en algunos servidores, pero no sustituye la actualización. WordPress recomienda instalar una versión corregida y mantener la instalación en una rama con soporte activo.
Si todavía estás en WordPress 7.0, 7.0.4 corrige el fallo. Si tu tema y tus plugins son compatibles, es preferible actualizar a WordPress 7.1, la rama actual, después de probarla en un entorno separado.
