En pocas palabras: WordPress 7.0.3 salió el 6 de agosto de 2026 como release de seguridad y corrige doce vulnerabilidades, entre ellas un XSS pre-autenticación en el login que podía derivar en ejecución de código PHP. No trae funciones nuevas: actualizá ya, sin esperar al finde.
WordPress 7.0.3 salió el 6 de agosto de 2026 como release de seguridad. Corrige doce vulnerabilidades, entre ellas un XSS pre-autenticación en la pantalla de login que podía terminar en ejecución de código PHP. La recomendación oficial de WordPress.org es clara: actualizá ya, no lo dejes para el finde.
WordPress 7.0.3 es una versión de mantenimiento y seguridad del CMS de WordPress.org, publicada el 6 de agosto de 2026, que parchea doce fallos reportados de forma responsable por investigadores externos y por el propio equipo de seguridad de WordPress. Al ser un parche de seguridad (no una release mayor), no trae funcionalidades nuevas: su único objetivo es cerrar agujeros en la 7.0.x.
En 30 segundos
- Fecha: WordPress 7.0.3 se publicó el 6 de agosto de 2026, según el anuncio oficial en WordPress News.
- Tipo: release de seguridad. No trae funciones nuevas, solo corrige fallos de la rama 7.0.
- Qué corrige: doce vulnerabilidades, con el XSS pre-auth del login como la más grave (potencial ejecución de PHP).
- Qué hacer: actualizar desde Escritorio → Actualizaciones. Los sitios con auto-updates ya lo están aplicando solos.
- Prioridad: alta. En un parche de seguridad, esperar «por las dudas» es peor que actualizar.
WordPress es un software de código abierto creado por Matt Mullenweg y Mike Little, utilizado para crear y gestionar sitios web y blogs. Es desarrollado por la comunidad global de WordPress.
¿Por qué WordPress 7.0.3 es una release de seguridad y no una actualización normal?
Porque su único motivo de existir es tapar agujeros, no traer novedades. WordPress usa un esquema de versiones donde el tercer número (el .3 de 7.0.3) marca una release menor: parches de seguridad y bugs, sin cambios de interfaz ni de API. La 7.0 fue el salto mayor; la 7.0.1, 7.0.2 y ahora la 7.0.3 son mantenimiento sobre esa base. Sobre eso hablamos en la comunidad WordPress y sus novedades.
Esa distinción importa a la hora de decidir cuándo actualizar. Una versión mayor (7.1, 8.0) puede romperte un plugin viejo o un theme con custom code, y ahí sí conviene probar en staging. Un parche de seguridad como este toca lo mínimo indispensable, así que el riesgo de actualizar es bajo y el de no hacerlo es alto. Si alguna vez pospusiste un update mayor por miedo a romper algo, este no es de esos.
¿Qué vulnerabilidades de seguridad corrige WordPress 7.0.3?
WordPress 7.0.3 corrige doce vulnerabilidades reportadas de forma responsable, según el aviso oficial. La más seria es un cross-site scripting (XSS) reflejado pre-autenticación en la pantalla de login, con potencial de llevar a ejecución de código PHP. Las otras once van de XSS almacenado en varios bloques a una escalada de privilegios en multisitio, pasando por fugas de información en comentarios y feeds, enumeración de slugs, una inyección CSS de nivel Author+, un bypass del flujo de confirmación de email y un SSRF en la validación de URLs.
Ponele que sos un atacante y encontrás un login abierto: un XSS pre-auth no necesita que nadie esté logueado para dispararse, y si además puede derivar en PHP, ya no hablamos de un pop-up molesto sino de control sobre el servidor. Ese es el que le pone el «actualizá ya» a esta versión. Los XSS almacenados de tipo Contributor+ requieren una cuenta con permisos de colaborador o superior, así que el vector es más acotado, pero siguen siendo peligrosos en sitios con muchos autores. Lo explicamos a fondo en crear landing pages de impacto.
| Vulnerabilidad | Tipo | Requiere cuenta | Riesgo |
|---|---|---|---|
| XSS reflejado en la pantalla de login | Pre-auth, potencial ejecución de PHP | No | Crítico |
| XSS en posts vía elemento de ajustes de emojis | Stored (Contributor+) | Sí | Alto |
| XSS en el bloque Contenido de la entrada | Stored (Contributor+) | Sí | Alto |
| XSS en Edición rápida (sitios con muchos usuarios) | Stored (Contributor+) | Sí | Alto |
| XSS en el bloque Fecha de la entrada | Stored (Contributor+) | Sí | Alto |
| Escalada de privilegios en multisitio con registro abierto | Permite crear un sitio nuevo | Sí | Alto en multisitio |
| Fuga de info en el bloque Últimos comentarios | Expone comentarios de entradas protegidas con contraseña | No | Medio |
| Enumeración de slugs de entradas | Divulgación de información | No | Bajo |
| Divulgación de notas en feeds de comentarios | Fuga de información | No | Bajo |
| Inyección CSS vía bypass del filtro de atributos CSS seguros | CSS injection (Author+) | Sí | Medio |
| Bypass del flujo de confirmación de email | Elusión de verificación de correo | No | Medio |
| SSRF en la validación de URL | Permite solicitudes a rangos link-local | No | Medio |
De los nombres de quienes reportaron, el aviso oficial acredita entre otros a Asaf Mozes (XSS almacenado vía ajustes de emojis) y al propio equipo de seguridad de WordPress (XSS en el bloque Fecha de la entrada). El resto de los créditos figura en la nota original. Si te interesa el detalle técnico de cómo se explotan estos XSS y cómo blindar el sitio más allá del parche, ese terreno lo cubre en profundidad el blog hermano seguridadenwordpress.com.
¿Qué pasa si no actualizo a WordPress 7.0.3?
Quedás expuesto a los doce fallos que la versión corrige, con el XSS pre-auth del login como el riesgo más concreto. En un sitio sin parchear, un atacante podría inyectar script en la pantalla de acceso sin necesidad de credenciales y, en el peor escenario, escalar hacia ejecución de PHP. Traducido: robo de sesiones de admin, inyección de malware o pérdida de control del sitio.
- Sitios single: el vector principal es el XSS del login y los XSS almacenados si tenés colaboradores externos cargando contenido.
- Instalaciones multisitio: sumás la escalada de privilegios. Si tenés el registro de usuarios abierto, alguien podría crear un sitio nuevo dentro de tu red sin permiso.
- Sitios con contenido protegido: el bloque Últimos comentarios podía filtrar comentarios de entradas protegidas con contraseña, así que la fuga afecta tu privacidad editorial.
¿Vale la pena arriesgarse a «ver si pasa algo»? No. Los detalles de estas vulnerabilidades ya son públicos desde el 6 de agosto, y en seguridad la ventana entre «se publica el parche» y «aparecen los exploits automatizados» suele ser cortísima.
¿Cómo actualizar a WordPress 7.0.3 desde el panel?
Desde el Escritorio, andá a Escritorio → Actualizaciones y hacé clic en el botón de actualizar a WordPress 7.0.3. Los sitios con actualizaciones automáticas en segundo plano ya lo aplican solos poco después del release, así que puede que abras el panel y lo tengas hecho. El proceso tarda menos de un minuto en la mayoría de las instalaciones. Relacionado: testear la actualización en staging primero.
- Hacé un backup antes: base de datos y archivos. Es un parche de bajo riesgo, pero un respaldo fresco nunca sobra.
- Actualizá: Escritorio → Actualizaciones → botón de actualizar. WordPress entra en modo mantenimiento unos segundos y vuelve solo.
- Verificá plugins y tema: como es release menor, la compatibilidad casi siempre se mantiene. Igual chequeá que todo levante bien después.
- Confirmá la versión: abajo a la derecha del Escritorio debería decir 7.0.3.
Si administrás varios sitios, aprovechá que la mayoría de los buenos hostings WordPress ya tienen el auto-update encendido por defecto. En el hosting WordPress de Donweb, por ejemplo, las actualizaciones de seguridad se propagan sin que tengas que entrar sitio por sitio.
¿Cómo descargar WordPress 7.0.3 de forma manual?
Si tenés las actualizaciones automáticas deshabilitadas o preferís el control total, descargá WordPress 7.0.3 directo desde wordpress.org/download. Bajás el ZIP oficial, lo descomprimís y subís los archivos por FTP o SFTP a tu servidor, pisando los del core (sin tocar wp-content ni wp-config.php).
El flujo manual es simple: bajás el paquete, subís las carpetas wp-admin y wp-includes completas, reemplazás los archivos sueltos del root, y al recargar el panel WordPress te pide correr la actualización de la base de datos si hace falta. Eso sí: bajá el archivo únicamente del dominio oficial wordpress.org. Un ZIP de «WordPress» de un sitio random es la receta perfecta para instalarte un backdoor con tus propias manos.
¿Es seguro actualizar WordPress 7.0.3 en un sitio en producción?
Sí, y en un parche de seguridad conviene hacerlo cuanto antes. WordPress aplica las actualizaciones menores sin downtime perceptible: entra en modo mantenimiento unos segundos, reemplaza los archivos del core y vuelve. Al no cambiar APIs ni interfaces, el riesgo de que un plugin o tema se rompa es bajo.
Aun así, un par de recaudos no vienen mal si tenés un sitio grande o con desarrollo a medida. Elegí un horario de bajo tráfico, confirmá que tengas backup automático encendido, y si corrés código custom que toca hooks del core, pasalo primero por staging. Para un blog o un WooCommerce estándar, actualizar en vivo es lo normal y no vas a notar nada. Esto se conecta con lo que analizamos en verificar que todo siga funcionando correctamente.
Errores comunes al actualizar a WordPress 7.0.3
- Posponer «hasta el finde»: es el error clásico con parches de seguridad. Los detalles ya son públicos; cada día sin actualizar es una ventana abierta. Corregilo: actualizá el mismo día.
- Desactivar los auto-updates y olvidarse: muchos apagan las actualizaciones automáticas para «tener control» y después no vuelven a mirar el panel en semanas. Si las apagás, poné un recordatorio para revisar a mano.
- Actualizar sin backup: el riesgo es bajo, pero si justo tenés un plugin viejo que choca, querés poder volver atrás en dos minutos y no reconstruir el sitio de cero.
- Bajar el ZIP de cualquier lado: instalar un paquete manual desde un sitio no oficial es como pedirle a un desconocido que te toque el servidor. Solo wordpress.org.
Preguntas Frecuentes
¿Cuándo salió WordPress 7.0.3?
WordPress 7.0.3 se publicó el 6 de agosto de 2026, según el anuncio oficial en WordPress News. Es una release de seguridad, lo que significa que corrige vulnerabilidades sin introducir funcionalidades nuevas sobre la rama 7.0.
¿Qué corrige WordPress 7.0.3?
Corrige doce vulnerabilidades de seguridad. La más grave es un XSS reflejado pre-autenticación en la pantalla de login con potencial de ejecución de PHP. Las demás incluyen cuatro XSS almacenados en distintos bloques, una escalada de privilegios en multisitio, una fuga de información en el bloque Últimos comentarios, enumeración de slugs de entradas, divulgación de notas en feeds de comentarios, una inyección CSS de nivel Author+, un bypass del flujo de confirmación de email y un SSRF en la validación de URLs.
¿Trae funciones nuevas WordPress 7.0.3?
No. Al ser una versión menor de seguridad, WordPress 7.0.3 solo aplica parches y correcciones sobre la 7.0.x. Las funcionalidades nuevas llegan con las versiones mayores, no con los parches de mantenimiento como este.
¿Se puede deshacer la actualización a WordPress 7.0.3?
Sí, con un plugin de rollback de versiones o restaurando desde un backup previo. Igual, hacer rollback de un parche de seguridad te devuelve a un estado vulnerable, así que solo tiene sentido como medida temporal si un plugin crítico dejó de funcionar, mientras resolvés esa incompatibilidad.
¿Afecta WordPress 7.0.3 a los sitios multisitio de forma distinta?
Sí. Además de los fallos que afectan a cualquier instalación, la 7.0.3 corrige una escalada de privilegios específica de redes multisitio con el registro de usuarios habilitado, que permitía a un usuario crear un sitio nuevo dentro de la red sin autorización. Si administrás un multisitio con registro abierto, actualizá con prioridad.
Conclusión
WordPress 7.0.3 es un parche de seguridad del 6 de agosto de 2026 que cierra doce vulnerabilidades, con un XSS pre-auth en el login que podía escalar a ejecución de PHP como el motivo de peso para no demorar. No hay funciones nuevas ni cambios de interfaz, así que el riesgo de actualizar es mínimo y el de no hacerlo, alto.
La jugada correcta es simple: hacé un backup, andá a Escritorio → Actualizaciones y pasá a 7.0.3 hoy. Si tu hosting tiene auto-updates de seguridad, chequeá que estén encendidos y confirmá la versión en el panel. Para el detalle de cómo blindar tu sitio más allá del parche, el blog hermano de seguridad es el lugar. Acá, con actualizar y verificar, ya cerraste el tema.
