La seguridad de WordPress vuelve a estar en el punto de mira. El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido una alerta urgente por una vulnerabilidad de severidad alta que afecta a la práctica totalidad de las versiones del popular gestor de contenidos. El fallo, que ya tiene identificador CVE-2026-65640, podría permitir a un atacante ejecutar código remoto en el servidor, comprometiendo por completo la web.
La alerta, difundida a través del aviso INCIBE-2026-552, llega en un momento en el que WordPress sigue siendo el CMS más utilizado del mundo, con más del 40% de los sitios web. La buena noticia es que ya existen parches disponibles, pero la mala es que muchos administradores aún no los han aplicado. Te contamos todos los detalles y qué debes hacer para proteger tu sitio.
¿Qué ha ocurrido?
El aviso del INCIBE-CERT, publicado el pasado jueves 13 de agosto, detalla que la vulnerabilidad está presente en todas las ramas de WordPress desde la 4.7 hasta la 7.0. Se trata de un problema de subida de archivos sin restricciones que, combinado con el componente Ghostscript, permite la ejecución remota de código. La severidad se ha clasificado como alta, con una puntuación CVSS de 8,8, y el fallo ya tiene asignado el identificador CVE-2026-65640.
Versiones afectadas y parches
La lista de versiones afectadas es larga. WordPress 7.0 queda afectado en las versiones anteriores a la 7.0.4; WordPress 6.9 en las anteriores a la 6.9.7; y WordPress 6.8 en las anteriores a la 6.8.8. La actualización se extiende a las ramas 6.7, 6.6, 6.5, 6.4, 6.3, 6.2, 6.1 y 6.0, con parches que van desde la 6.7.7 hasta la 6.0.14. Para las ramas 5.x, las versiones corregidas abarcan desde WordPress 5.9.16 hasta WordPress 5.0.27, mientras que las ramas 4.x reciben los parches 4.9.31, 4.8.30 y 4.7.35. En total, 24 ramas del gestor necesitan actualización.
El vector de ataque: Ghostscript y archivos PostScript
El detalle técnico apunta al componente Ghostscript, que no maneja de forma segura ciertos archivos incrustados. Un atacante con permisos de nivel Autor o superiores podría subir un archivo PostScript malicioso disfrazado de imagen, y lograr la ejecución remota de código. El problema surge porque ImageMagick analiza el contenido real del archivo, mientras que WordPress se guía por la extensión. Así, un archivo PNG que en realidad contiene código PostScript termina ejecutándose dentro de Ghostscript. La corrección, incluida en la versión 7.0.4, modifica la función de carga para revisar el contenido antes de pasarlo a Imagick, y también impide que los atacantes manipulen los nombres de archivo.
Recomendaciones para administradores
El INCIBE-CERT recomienda aplicar de forma inmediata los parches publicados por WordPress. Además, sugiere revisar los permisos de los usuarios con capacidad upload_files, ya que el vector de entrada se limita a perfiles con permisos de subida de archivos a partir del nivel de autor. También es aconsejable monitorizar los registros de subida de archivos y auditar los archivos de tipo PostScript hasta confirmar que el sistema queda fuera del alcance de la explotación. La actualización es la principal defensa frente a este tipo de amenazas.
Con esta vulnerabilidad, la actualización se convierte en la principal defensa. No esperes a que sea demasiado tarde: revisa la versión de tu WordPress y aplica los parches cuanto antes. La seguridad de tu web y la de tus usuarios está en juego.
