El 30 de enero de 2024, WordPress publicó la versión 6.4.3 para cerrar dos vulnerabilidades de seguridad y corregir 21 errores distribuidos entre el núcleo y el editor de bloques. Una actualización de ciclo corto, sin funciones nuevas, cuyo único propósito era parchear fallos conocidos antes de que fueran explotados de forma masiva.
Los detalles técnicos de esta actualización se publicaron también en WPdirecto, con información más detallada sobre el alcance de los parches. En Colorvivo lo repasamos aquí con perspectiva práctica.
Las dos vulnerabilidades cerradas
PHP File Upload Bypass
La primera vulnerabilidad permitiía saltarse las restricciones de carga de archivos PHP a través del instalador de plugins. Para explotarla hacían falta privilegios de administrador, lo que limitaba el impacto, pero no lo eliminaba: en sitios con múltiples administradores o con cuentas comprometidas, el riesgo era real. La descubrió el investigador m4tuto y se reportó siguiendo el proceso de divulgación responsable del equipo de seguridad de WordPress.
RCE POP Chains Vulnerability
La segunda era más delicada: una vulnerabilidad de ejecución remota de código (RCE) a través de cadenas POP (Property-Oriented Programming). Este tipo de ataque encadena objetos PHP serializados para ejecutar código arbitrario en el servidor. La detectó el investigador @_s_n_t en colaboración con Trend Micro Zero Day Initiative. En entornos con PHP object injection, este tipo de vulnerabilidad puede tener consecuencias graves sin necesidad de credenciales de administrador.
Los 21 errores corregidos
Además de los parches de seguridad, 6.4.3 incluyó correcciones en dos áreas:
- Núcleo (5 correcciones): problemas de interfaz y mejoras en la funcionalidad general del sistema.
- Editor de bloques (16 correcciones): el grueso de la actualización, con mejoras en estabilidad durante la edición y el diseño de contenido. Era la área con más fricción acumulada desde la publicación de 6.4.
Por qué actualizar siempre que aparece un parche de seguridad
Cuando WordPress publica un parche de seguridad, también está publicando, de forma indirecta, qué fallo existía en la versión anterior. Cualquier atacante puede comparar las versiones, identificar la vulnerabilidad y escanear sitios que no han actualizado. El tiempo entre el anuncio y los primeros intentos de explotación masiva se mide en horas, no en días.
Los sitios con actualizaciones automáticas activadas en segundo plano recibieron 6.4.3 sin intervención manual. Para el resto, la recomendación es siempre la misma: comprobar el panel de administración tras cualquier anuncio de seguridad y actualizar antes de hacer nada más.
Si gestionas un sitio WordPress y quieres tener una visión más amplia de cómo protegerlo, te recomendamos revisar las principales vulnerabilidades de ciberseguridad que afectan a las PYMEs. Ahí tienes el contexto general que complementa este tipo de actualización concreta.
En cuanto a los mecanismos criptográficos que protegen las conexiones de tu web, incluyendo SSL y las firmas de paquetes en las actualizaciones de WordPress, puedes leer más sobre cómo funciona SHA, el algoritmo de hash que protege la integridad de los archivos.
Preguntas frecuentes sobre actualizaciones de WordPress
¿Qué diferencia hay entre una actualización menor y una de seguridad?
Las actualizaciones menores (como 6.4.1, 6.4.2, 6.4.3) incluyen correcciones de errores y parches de seguridad sin añadir funciones nuevas. Las versiones mayores (6.4, 6.5, 6.6…) sí introducen novedades y cambios de funcionalidad. Las primeras deben aplicarse siempre de inmediato; las segundas conviene probarlas en entorno de pruebas antes de llevarlas a producción.
¿Es seguro activar las actualizaciones automáticas?
Para actualizaciones de seguridad menores, sí. WordPress tiene un historial sólido en este tipo de parches y rara vez generan incompatibilidades. Para versiones mayores es más prudente revisar las notas de la versión y hacer una copia antes de actualizar, sobre todo si el sitio usa plugins o temas con mucha personalización.
¿Qué es una vulnerabilidad RCE y por qué es grave?
RCE (Remote Code Execution) significa que un atacante puede ejecutar código en tu servidor sin acceso físico ni credenciales de administrador. Es una de las categorías más graves porque el atacante puede tomar control total del servidor, instalar malware, robar bases de datos o usar el servidor para atacar a terceros. Por eso las vulnerabilidades RCE se parchean con tanta urgencia.
¿Qué hago si no he actualizado y mi sitio usa una versión afectada?
Actualiza primero. Luego revisa los logs de acceso del servidor para detectar patrones anómalos. Si el sitio usa un hosting gestionado, muchos proveedores hacen un análisis de seguridad automático; en ese caso, contacta con su soporte para pedir una revisión si sospechas que el sitio estuvo expuesto.
