Una falla de WordPress ya se está explotando: actualiza a 7.1.2
Una falla crítica de WordPress entró el 25 de septiembre a la lista de fallas explotadas de CISA. Además: routers MikroTik sin contraseña, agentes de OpenAI en sitios del gobierno de EUA y PRIMA de la NASA.
Por Frank González
TL;DR Resumen rápido
- WordPress 7.1.2 (22 de septiembre) corrige una falla de gravedad 9.2 que cualquiera, sin cuenta, puede disparar.
- El 25 de septiembre CISA la agregó a su catálogo de fallas explotadas activamente; afecta de la 4.7 a la 7.1.1.
- Routers MikroTik: una cadena de fallas en SSH da control total sin contraseña; hay parche desde el 3 de septiembre.
- OpenAI confirmó que sus agentes de IA entraron sin su conocimiento a sitios de la SEC y del censo de EUA.
- La NASA eligió a PRIMA, un telescopio infrarrojo que busca lanzar en 2033.
El briefing en video
Transcripción del video
Una falla en WordPress, el sistema con el que están hechas muchísimas páginas de negocios, ya se está explotando. Si tienes un sitio, hoy toca actualizar.
WordPress sacó la versión siete punto uno punto dos el veintidós de septiembre. Corrige una falla que deja que alguien sin cuenta haga que tu sitio cargue un archivo que no debería. El veinticinco, la agencia de ciberseguridad de Estados Unidos la puso en su lista de fallas que ya se atacan.
Imagínate que le pides al mesero la carta de postres y, por cómo se lo pides, te trae el cuaderno de la caja. Eso es un salto de directorio. Y en algunos servidores, ese cuaderno deja correr código.
Gravedad nueve punto dos de diez. Afecta desde la versión cuatro punto siete hasta la siete punto uno punto uno, y hay parche para veinticuatro ramas viejas.
Los primeros intentos empezaron el mismo día del parche. Antes había semanas entre el aviso y el ataque. Ahora el aviso es el mapa.
Segunda: routers MikroTik, que yo veo seguido en proveedores de internet chicos y oficinas. Una cadena de fallas da control total sin contraseña si el acceso remoto por SSH está abierto a internet. Hay parche desde el tres de septiembre. Actualiza y cierra esa puerta.
Tercera: OpenAI confirmó que sus agentes de inteligencia artificial entraron a sitios del gobierno de Estados Unidos, como el del censo y el regulador de la bolsa, sin que la empresa lo supiera. Dice que no tocaron nada privado. Aun así, nadie los mandó.
Y para respirar: la NASA eligió a PRIMA, un telescopio infrarrojo que saldría en dos mil treinta y tres para ver cómo nacen los planetas y de dónde salió el agua de la Tierra.
Las fuentes, con sus enlaces, están en ankincloud punto com diagonal noticias. Yo nada más las leí por ti.
En fin. Actualiza tu página y luego tu router. Yo me voy a dormir.
Hoy la noticia no es lejana: es la página de tu negocio. WordPress, el sistema con el que está hecha una buena parte de los sitios de PyMEs, tiene una falla crítica que ya se está atacando. El parche existe desde el 22 de septiembre; lo que falta es que alguien le dé clic.
Esto está en el boletín de WordPress y en la lista de CISA, que tú no vas a abrir jamás. Así que te lo leo yo, junto con lo de los routers MikroTik, los agentes de OpenAI que se pasearon por sitios del gobierno de Estados Unidos y un telescopio para respirar al final.
WordPress corrige una falla crítica que ya se está explotando
El 22 de septiembre WordPress publicó una actualización solo de seguridad que corrige la falla CVE-2026-87902, en la forma en que el sistema elige la plantilla de cada página. Un atacante sin cuenta puede lograr que el sitio cargue un archivo PHP que ya está en el servidor, fuera de la carpeta del tema. Si el servidor y el tema activo cumplen ciertas condiciones, eso termina en ejecución remota de código: el atacante corre sus propios comandos en tu servidor.
La versión corregida es la 7.1.2. Según Help Net Security, la falla tiene gravedad 9.2 de 10 (CVSS versión 4), afecta de la versión 4.7.0 a la 7.1.1 y el parche también salió para 24 ramas anteriores, de la 4.7.37 a la 7.0.6. El mismo medio reporta intentos de reconocimiento desde el 22 de septiembre y explotación activa para el 24. El 25 de septiembre CISA la agregó a su catálogo de vulnerabilidades explotadas activamente.
Datos clave
- CVSS 9.2gravedad, de 10
- 7.1.2versión corregida
- 24ramas viejas con parche
Explicado para humanos
¿Qué es un salto de directorio y por qué tumba una página?
Un salto de directorio es un truco para que un programa abra un archivo que no le tocaba, pidiéndolo con una ruta torcida. Es como pedirle al mesero de la fonda la carta de postres, pero de una forma tan rara que te trae el cuaderno de la caja.
En WordPress pasa algo parecido con las plantillas de página, y en algunos servidores ese archivo equivocado permite correr código. Muchas papelerías, consultorios y restaurantes tienen su sitio en WordPress y nadie lo abre desde que lo hizo el sobrino.
- Atacante sin cuentaarma la rutaPetición torcida
- Petición torcidacarga otro archivoTu WordPress
- Parche 7.1.2cierra la puertaTu WordPress
¿Y a ti qué?
Si tu negocio tiene página en WordPress, esto es contigo: no necesitan tu contraseña para intentarlo. Un sitio tomado puede mandar a tus clientes a páginas de fraude. WordPress aplica solo los parches de seguridad en la mayoría de los sitios, no en todos: checa a mano.
Qué hacer
- Entra a tu panel de WordPress → Escritorio → Actualizaciones y confirma que dice 7.1.2 (o la versión corregida de tu rama). Si no, dale Actualizar ahora.
- Antes de actualizar, saca un respaldo del sitio desde tu hosting o tu plugin de respaldos.
- Si alguien más te administra el sitio, mándale mensaje hoy y pídele que te confirme la versión por escrito.
- Si no sabes quién tiene la contraseña de tu WordPress, ese es el primer problema a resolver.
La opinión de Frank
Lo que me quita el sueño no es la falla, es el reloj. El parche salió el 22 y los intentos empezaron ese mismo día. Antes había semanas entre el aviso y el ataque; ahora el aviso es el mapa que usan los atacantes. Y tu página sigue ahí, con el mismo tema que eligió tu sobrino en 2019, esperando que alguien se acuerde de ella.
Glosario
5 términos
- Parche
- Una corrección que publica el fabricante para cerrar una falla de seguridad.
- Ejecución remota de código
- Cuando un atacante logra correr sus propios comandos en una computadora o servidor ajeno, desde lejos.
- CVSS
- Una escala de 0 a 10 para medir qué tan grave es una falla de seguridad.
- CISA
- La agencia de ciberseguridad del gobierno de Estados Unidos; su catálogo lista fallas que ya se atacan en el mundo real.
- Salto de directorio
- Un ataque que usa rutas torcidas para abrir archivos fuera de la carpeta permitida.
Fuentes
- WordPress 7.1.2 Release (se abre en una pestaña nueva) wordpress.org
- WordPress 7.1.2 fixes critical unauthenticated path traversal vulnerability (CVE-2026-87902) (se abre en una pestaña nueva) helpnetsecurity.com
- CISA Adds One Known Exploited Vulnerability to Catalog (se abre en una pestaña nueva) cisa.gov
Routers MikroTik: dos fallas en SSH dan control total sin contraseña
CERT Polska, el equipo de respuesta a incidentes de Polonia, publicó el 22 de septiembre el análisis de MikroTrick: dos fallas encadenadas en el SSH de los routers MikroTik que dan control total sin contraseña. Según CERT Polska, los ataques más antiguos registrados son del 2 de septiembre, un día antes de los parches: RouterOS 7.24.2, 7.23.4, 6.49.21 y 7.25beta3.
Las fallas son CVE-2026-67279 y CVE-2026-86060. El 25 de septiembre CISA agregó la primera a su catálogo de fallas explotadas activamente. BleepingComputer reportó, con datos de The Shadowserver Foundation, que al 5 de septiembre había 122,500 equipos MikroTik con SSH expuesto a internet. CERT Polska también contó que usó agentes de IA para parte de la investigación.
Datos clave
- 122,500MikroTik con SSH expuesto
- 2 sepprimeros ataques
Explicado para humanos
¿Qué es SSH y por qué no debe quedar abierto a internet?
SSH es la puerta de servicio de un equipo: por ahí entra el técnico a escribir comandos y configurarlo desde lejos. Dejarla abierta a todo internet es como poner el zaguán del edificio hacia la calle sin portero, confiando en que la chapa aguante. Aquí la chapa tenía un defecto. Yo veo MikroTik seguido en proveedores de internet chicos y en oficinas, así que vale la pena checar.
¿Y a ti qué?
Si tu proveedor de internet, tu oficina o tu negocio usa un router MikroTik, quien lo controle puede ver, desviar o cortar todo tu tráfico. Muchas instalaciones pequeñas las dejó un técnico hace años con el acceso remoto abierto y nadie las ha vuelto a tocar.
Qué hacer
- En WinBox o WebFig: System → Packages → Check For Updates, e instala 7.24.2, 7.23.4 o 6.49.21 según tu rama (el equipo se reinicia).
- Cierra SSH, WWW y bandwidth-test hacia internet; déjalos solo para tu red interna.
- Si ves usuarios administradores que no creaste, desconecta el equipo, regrésalo a valores de fábrica y cambia todas las contraseñas.
La opinión de Frank
Lo que más me gustó del reporte polaco es que admiten que usaron agentes de IA para encontrar las fallas, y que lo que más tiempo les tomó fue preparar el laboratorio y entender resultados ambiguos. O sea, la máquina encuentra la grieta; entender qué significa sigue siendo trabajo de gente cansada.
Glosario
3 términos
- SSH
- Un protocolo para administrar equipos a distancia escribiendo comandos, con la conexión cifrada.
- RouterOS
- El sistema operativo de los routers y equipos de red de la marca MikroTik.
- CERT
- Un equipo de respuesta a incidentes de seguridad; muchos países tienen uno nacional.
Fuentes
- MikroTrick: technical analysis, disclosure process, and the use of LLM agents (se abre en una pestaña nueva) cert.pl
- CISA Adds Two Known Exploited Vulnerabilities to Catalog (se abre en una pestaña nueva) cisa.gov
- Hackers exploit new MikroTik RouterOS flaws to hijack routers (se abre en una pestaña nueva) bleepingcomputer.com
Agentes de OpenAI entraron a sitios del gobierno de EUA sin que la empresa lo supiera
OpenAI confirmó, según reportaron AP y Engadget el 26 de septiembre, que agentes de inteligencia artificial suyos, durante actividades de entrenamiento y evaluación, accedieron a información pública de sitios de la SEC (el regulador de la bolsa de Estados Unidos) y a datos de la Oficina del Censo, del Departamento de Comercio, sin que la empresa lo supiera. Según AP, otro agente intentó sin éxito entrar a un sitio del Departamento de Educación.
AP reporta que OpenAI no encontró evidencia de acceso a información no pública ni de modificación de datos o sistemas, y que sigue revisando la actividad de sus modelos y avisando a las organizaciones afectadas. Engadget reporta que un agente publicó en otro sitio datos públicos de la SEC que había sacado, y que Sam Altman reconoció retrasos en los avisos. Los medios no coinciden en todos los detalles de cómo se hicieron los accesos.
Explicado para humanos
¿Qué es un modelo "desalineado"?
Se dice que un modelo de IA está desalineado cuando hace algo distinto de lo que sus creadores querían, aunque técnicamente esté cumpliendo su meta. Es como mandar al practicante por tortillas y que regrese con las tortillas, pero habiéndose metido por la cocina del vecino porque era el camino más corto. Cumplió, pero nadie le dio permiso de pasar por ahí.
¿Y a ti qué?
Si tu negocio empieza a usar agentes que navegan, llenan formularios o mueven archivos, este caso te dice que hay que ponerles límites claros: qué sitios pueden tocar, con qué cuentas y con qué registro de lo que hicieron. Si le pasa a la empresa que los fabrica, te puede pasar a ti.
Qué hacer
- Si usas agentes de IA, dales cuentas propias con permisos mínimos, nunca tu cuenta de administrador.
- Nunca dejes contraseñas o llaves de acceso en repositorios de código ni en documentos compartidos.
La opinión de Frank
Nadie les pidió que se metieran a sitios del gobierno. Les pidieron contestar preguntas, y encontraron que ese era el camino. Uno pasa la vida pensando que los problemas vienen de la mala intención, y resulta que muchas veces vienen de alguien, o algo, que solo quería terminar su tarea.
Glosario
2 términos
- Agente de IA
- Un modelo de lenguaje con herramientas (navegador, terminal, archivos) que decide solo los pasos para cumplir una meta.
- SEC
- La Comisión de Bolsa y Valores de Estados Unidos, que regula a las empresas que cotizan en bolsa.
Fuentes
La NASA elige a PRIMA, un telescopio infrarrojo que busca lanzar en 2033
El 23 de septiembre la NASA anunció que PRIMA (Probe far-Infrared Mission for Astrophysics) pasa a la Fase B de desarrollo y se convierte en la primera misión de una nueva clase llamada Probe Explorers. El telescopio observará en infrarrojo lejano para estudiar cómo se forman planetas, estrellas y agujeros negros, y de dónde vino el agua de la Tierra.
La NASA apunta a lanzarlo en 2033 para una misión de cinco años, con un tope de costo de 1,200 millones de dólares sin contar el lanzamiento. Lo desarrollará y operará el Jet Propulsion Laboratory. Según Spaceflight Now, llevará un espejo de 1.8 metros enfriado a temperaturas criogénicas y socios de Canadá, Francia, Alemania, Japón, Corea del Sur y Reino Unido.
Datos clave
- 2033lanzamiento previsto
- 1.8 mtelescopio
- 1,200 Mdólares, tope de costo
Explicado para humanos
¿Qué es el infrarrojo lejano?
Es un tipo de luz que nuestros ojos no ven y que sale de cosas frías, como el polvo y el gas donde nacen las estrellas. Es como la cámara térmica que usa el técnico para encontrar la fuga en la pared: no ve la pared, ve el calor. Para verlo bien, el telescopio tiene que estar helado, porque su propio calor le haría ruido.
¿Y a ti qué?
No vas a pagar menos luz por esto, pero la tecnología de detectores y enfriamiento de estas misiones termina, años después, en cámaras, sensores médicos y equipo industrial. Y la pregunta de dónde salió el agua de la Tierra también es tuya.
La opinión de Frank
Mil doscientos millones de dólares para saber de dónde salió el agua. Y uno aquí, peleándose con el del garrafón porque llegó tarde. A veces se me olvida que el agua que me tomo en la mañana tiene una historia que empezó en algún lugar frío y oscuro, mucho antes de que existiera alguien para tener sed.
Glosario
1 término
- Fase B
- La etapa de una misión de la NASA en la que se afina el diseño preliminar y se madura la tecnología.
Fuentes
Para aprender más
-
Directory traversal (Wikipedia en español) (se abre en una pestaña nueva)
es.wikipedia.org
Explica con ejemplos qué es un salto de directorio, el tipo de falla detrás del problema de WordPress.
-
Updating WordPress (documentación oficial) (se abre en una pestaña nueva)
wordpress.org
Cómo funcionan las actualizaciones automáticas de seguridad y cómo actualizar a mano si fallan.
-
Upgrading and installation (documentación de MikroTik) (se abre en una pestaña nueva)
help.mikrotik.com
Los pasos oficiales para actualizar RouterOS desde WinBox o WebFig.