En pocas palabras: WordPress 7.0.4 es una release de seguridad publicada el 12 de agosto de 2026 con un único parche: corrige la CVE-2026-65640, una ejecución remota de código para usuarios con rol Autor o superior en sitios con Imagick y Ghostscript activos. Actualizá de inmediato.
La actualización de seguridad de WordPress 7.0.4 salió el 12 de agosto de 2026 con un único parche y una recomendación clara: actualizá ya. Corrige la CVE-2026-65640, una ejecución remota de código que afecta a usuarios con rol Autor o superior en sitios que tengan Imagick y Ghostscript activos.
WordPress 7.0.4 es una versión de seguridad del núcleo de WordPress, publicada el 12 de agosto de 2026 por el equipo del proyecto y liderada por John Blackbourn, con aportes de Dennis Snell y Jeremy Felt. Trae un solo arreglo: la vulnerabilidad CVE-2026-65640, una ejecución remota de código autenticada que golpea a sitios donde alguien con rol Autor (o más alto) puede subir archivos y el servidor tiene instaladas las librerías Imagick y Ghostscript.
En 30 segundos
- Es una release de seguridad. Salió el 12/08/2026 con un solo fix y la recomendación oficial de actualizar de inmediato.
- La falla es CVE-2026-65640. Ejecución remota de código para usuarios Autor+ en sitios con Imagick y Ghostscript.
- Se actualiza en un clic. Dashboard → Actualizaciones → Actualizar ahora, o esperás el update automático en background.
- Hay backports. El parche baja hasta la rama 4.7 y también entra en la 7.1 RC3.
- No todos son vulnerables. Necesitás las tres condiciones juntas: rol Autor+, Imagick y Ghostscript activos.
¿Cuál es la vulnerabilidad de seguridad en WordPress 7.0.4?
La vulnerabilidad es la CVE-2026-65640 (referencia GHSA-8vr3-7mxf-gx8w): una ejecución remota de código autenticada de nivel Autor+, explotable mediante la carga de un archivo malicioso en sitios que usan Imagick y Ghostscript. En criollo: alguien que ya tiene una cuenta con permisos de Autor puede subir un archivo trucho que termina ejecutando código en tu servidor.
¿Por qué es grave si necesita un usuario logueado? Porque el rol Autor es de los más comunes en cualquier blog con varios redactores, y no es un rol que uno considere «peligroso». Ponele que tenés un sitio con diez colaboradores externos: cualquiera de esas cuentas, si se filtra o si el colaborador es malintencionado, alcanza para armar el desastre. Ya lo cubrimos antes en la comunidad WordPress.
El equipo de seguridad agradeció el reporte responsable que permitió parchear antes de la divulgación pública. Si querés el detalle técnico del hardening y cómo blindar roles y uploads más allá del parche, ese terreno es del blog hermano seguridadenwordpress.com. Acá vamos a lo práctico: cómo actualizar y cómo saber si te toca.
¿Cómo actualizar WordPress a la versión 7.0.4 paso a paso?
Hay tres caminos para llegar a 7.0.4, según el anuncio oficial de WordPress. El más simple es desde el escritorio; el más lento es no hacer nada y esperar.
- Desde el Dashboard. Entrá a Escritorio → Actualizaciones y hacé clic en «Actualizar ahora». Es cuestión de segundos en la mayoría de los sitios.
- Descarga manual. Bajás el ZIP desde WordPress.org y lo subís por FTP o desde el panel de tu hosting. Sirve si el auto-update te falla.
- Update automático en background. Los sitios que lo tienen activado arrancan a actualizarse solos al poco tiempo. No hacés nada, pero no controlás el momento.
Un consejo de quince años peleando con updates: si el sitio es crítico, probá primero en staging. Subís el sitio a un entorno de prueba, verificás que los plugins clave no exploten, y recién ahí lo mandás a producción. Si tu proveedor te deja clonar el sitio en un clic (el hosting WordPress de Donweb tiene staging, por ejemplo), este paso te toma dos minutos y te ahorra un dolor de cabeza.
¿Qué son Imagick y Ghostscript en WordPress?
Imagick y Ghostscript son dos librerías de procesamiento que muchos hostings activan por defecto. Imagick es la extensión de PHP que conecta WordPress con ImageMagick para manipular imágenes (redimensionar, recortar, convertir formatos). Ghostscript interpreta archivos PostScript y PDF, y suele entrar en juego cuando WordPress genera miniaturas de PDFs subidos a la biblioteca de medios.
El problema no es cada una por separado. Es la combinación. Cuando Imagick procesa un archivo y termina invocando a Ghostscript para interpretarlo, un archivo diseñado con mala intención puede abrir la puerta a la ejecución de código. Por eso el parche apunta justo a esa cadena. Si tu servidor no tiene Ghostscript instalado, esta falla puntual no te aplica (igual actualizá, no seas ese que deja la 7.0.3 «por las dudas»).
¿Mi sitio WordPress es vulnerable? Cómo verificarlo
Tu sitio es vulnerable si se cumplen las tres condiciones a la vez: hay al menos una cuenta con rol Autor o superior, el servidor tiene la extensión Imagick activa, y Ghostscript está instalado. Con que falte una sola de las tres, este vector concreto no se puede explotar. Aun así, la recomendación oficial es actualizar sí o sí. Te puede servir nuestra cobertura de crear landing pages en WordPress.
- Revisá tus roles. En Usuarios, mirá cuántas cuentas tienen rol Autor, Editor o Administrador. Si tenés colaboradores externos, prestá atención.
- Chequeá Imagick. En Herramientas → Salud del sitio → Información, buscá el módulo de imágenes. También aparece en la info de PHP.
- Preguntá por Ghostscript. Esto casi siempre lo sabe tu hosting. Un ticket de soporte te lo responde en minutos.
¿Cuándo aplicar la actualización de seguridad de WordPress 7.0.4?
Ahora. La actualización de seguridad de WordPress 7.0.4 no es opcional ni algo que puedas dejar «para el finde». Cada día que pasa con un parche público disponible aumenta el riesgo de que alguien arme un exploit a partir de la información divulgada. Los atacantes leen los advisories igual que vos.
Dicho esto, «ya» con cabeza. Antes de tocar producción, tené un backup fresco a mano (base de datos y archivos). Si podés elegir el horario, andá por una ventana de bajo tráfico. Y si el sitio factura, la secuencia sana es siempre la misma: backup, staging, verificar, producción. No es paranoia, es haber visto demasiadas veces el update que rompió justo el plugin que nadie testeó.
¿Qué versiones antiguas de WordPress reciben el parche?
El arreglo se backportea hasta la rama 4.7 y también entra en la 7.1 RC3, que estaba prevista para el mismo día del anuncio. WordPress aclara algo que conviene tener presente: solo la versión más reciente tiene soporte activo completo. Los backports salen a medida que están listos, no todos juntos. Esto se conecta con lo que analizamos en usar un entorno de staging.
Traducción práctica: si estás en una rama vieja por compatibilidad de algún plugin heredado, probablemente te llegue el parche de seguridad, pero seguís sin las mejoras y arreglos que sí tiene la 7.x. Quedarse anclado en una versión antigua «porque anda» es una deuda técnica que tarde o temprano se cobra.
¿Cómo verificar que la actualización fue exitosa?
Entrá a Escritorio → Actualizaciones, o a la pantalla «Acerca de», y confirmá que la versión diga 7.0.4. Después probá lo obvio: cargá una imagen a la biblioteca de medios, publicá un post de prueba, revisá que los plugins críticos sigan funcionando. Si algo se rompió, el log de errores es tu amigo.
¿Y si al actualizar el sitio quedó raro? Para eso está el backup previo. Restaurás, investigás qué plugin o tema no le gustó la nueva versión, y volvés a intentar en staging. Volver atrás sin un respaldo es donde la gente entra en pánico (y con razón). En reparar enlaces rotos en tu sitio profundizamos sobre esto.
Errores comunes al actualizar a WordPress 7.0.4
- Actualizar sin backup. El más clásico y el más caro. Si el update rompe algo, sin respaldo quedás vendido. Siempre backup de base de datos y archivos antes de tocar nada.
- Creer que «necesita login, entonces zafo». El rol Autor es habitual y una cuenta comprometida alcanza. No bajes la guardia porque la falla sea autenticada.
- Actualizar el core y olvidarse de plugins y temas. Un plugin desactualizado puede pelearse con la nueva versión. Revisá compatibilidad y actualizá el resto también.
- Tocar producción directo un viernes a la tarde. Si se rompe, te quedás sin margen. Elegí horario de bajo tráfico y tené a alguien disponible.
Preguntas Frecuentes
¿Cuándo salió WordPress 7.0.4?
WordPress 7.0.4 salió el 12 de agosto de 2026. Es una versión de seguridad que trae un único parche, publicada por el equipo del proyecto y liderada por John Blackbourn.
¿Por qué debo actualizar WordPress urgentemente?
Porque corrige la CVE-2026-65640, una ejecución remota de código. Con el parche ya público, el riesgo de que aparezca un exploit sube con cada día que pasa. La recomendación oficial es actualizar de inmediato.
¿Cómo actualizo WordPress a 7.0.4?
Desde Escritorio → Actualizaciones → «Actualizar ahora», descargando el ZIP desde WordPress.org, o esperando el update automático si lo tenés activado. Antes, hacé un backup y, si el sitio es crítico, probá en staging.
¿Qué es la CVE-2026-65640?
Es una ejecución remota de código autenticada de nivel Autor+, explotable mediante carga de archivos maliciosos en sitios con Imagick y Ghostscript. Su referencia GitHub es GHSA-8vr3-7mxf-gx8w y es la única falla que corrige la 7.0.4.
¿Puedo volver a la versión anterior si algo falla?
Sí, restaurando el backup que hiciste antes de actualizar. Por eso el respaldo previo no es negociable. Después investigás qué plugin o tema causó el conflicto en staging y reintentás el update.
Conclusión
WordPress 7.0.4 es una release de seguridad puntual: un solo fix, la CVE-2026-65640, que tapa una ejecución remota de código para usuarios Autor+ en servidores con Imagick y Ghostscript. No trae features nuevas, y está bien que así sea. Lo importante es la velocidad de aplicación.
¿Qué hacer hoy? Backup, verificar tu versión, actualizar. Si tenés varios sitios, empezá por los que tienen colaboradores externos y biblioteca de medios activa, que son los que más rol Autor manejan. Y si querés profundizar en hardening de roles y uploads más allá de este parche, ese material vive en el blog hermano de seguridad. El core ya hizo su parte; te toca instalarlo.
