Qué se ha publicado

INCIBE describe CVE-2026-87902 en la resolución de plantillas de página de WordPress. Un atacante remoto sin autenticación podría provocar la inclusión de un archivo PHP local situado fuera del tema activo. La ejecución remota depende de condiciones adicionales del servidor y del tema; no debe darse por posible en todos los sitios de la misma manera.

El aviso del 23 de septiembre clasifica el fallo como crítico y no recoge explotación confirmada.

Correcciones disponibles

La versión estable recomendada es WordPress 7.1.2. Hay correcciones para ramas anteriores, entre ellas 7.0.6, 6.9.9 y 6.8.10. INCIBE recoge una lista más extensa de backports y señala que solo la rama más reciente dispone de soporte activo.

Hay que consultar la rama exacta instalada. Contar con una corrección puntual en una versión antigua no equivale a tener el mismo soporte que la versión actual.

Análisis de Defensops: revisar todos los sitios, no solo la web principal

Para organizar la actualización proponemos comenzar por un inventario de dominios, subdominios, instalaciones de pruebas y webs administradas por terceros. Cada entrada debe asociarse a una versión comprobada, un responsable y una vía de recuperación. Una web secundaria olvidada puede quedarse fuera de un cambio que parece completo.

El procedimiento recomendado es:

  1. Preparar un respaldo y comprobar cómo recuperarlo, sin dar por válida una copia que nunca se ha probado.
  2. Actualizar el núcleo por una vía compatible con el alojamiento y la instalación.
  3. Probar navegación, formularios, acceso administrativo y funciones relevantes del sitio.
  4. Registrar la versión resultante y resolver instalaciones pendientes.
  5. Revisar archivos inesperados y cambios administrativos si la exposición o la actividad observada lo justifican.

Los registros de acceso, los cambios de archivos y el historial de administración ayudan a reconstruir contexto. Deben compararse con despliegues, tareas automáticas y modificaciones legítimas. Un archivo reciente no es necesariamente una puerta trasera, ni la ausencia de alertas demuestra que la web no haya sido comprometida.

También recomendamos separar la revisión del núcleo de la de temas y extensiones: son superficies distintas y requieren inventarios propios. No presentamos este fallo como una vulnerabilidad universal de todos los plugins.

El cierre debería demostrar que cada sitio quedó actualizado y operativo. No basta con que el proveedor confirme que inició el trabajo.

Fuente y actualización

Aviso de INCIBE del 23 de septiembre de 2026. Ampliación editorial: 27 de septiembre. Las medidas de revisión son recomendaciones propias de Defensops.