Llega WordPress 7.2 (y 7.1.3 es una versión de seguridad): novedades y cómo actualizar de forma segura

Este otoño hay dos versiones de WordPress que importan. WordPress 7.1.3, publicada el 6 de octubre de 2026, es una versión de seguridad con siete correcciones, y todos los sitios deberían tenerla ya instalada. WordPress 7.2, la última versión mayor de 2026, llegó a la Beta 1 el 20 de octubre y está prevista para el 8 de diciembre.

Esta guía explica qué corrigió 7.1.3, qué llega con 7.2, los cambios que podrían afectar a tu tema o tus plugins y cómo probar la nueva versión sin poner en riesgo tu sitio en producción.

WordPress 7.1.3: siete correcciones de seguridad

WordPress 7.1.3 es una versión de mantenimiento y seguridad con 7 correcciones de seguridad y 4 correcciones de errores. Los problemas de seguridad que soluciona son:

• un problema de cross-site scripting (XSS) almacenado en la pantalla de administración de Comentarios, explotable a través de comentarios pendientes;
• un problema de denegación de servicio en WP_Http::make_absolute_url();
• una inyección SQL de segundo orden en la herramienta WXR (exportación);
• usuarios con el rol de Autor que podían fijar entradas;
• comentarios en entradas privadas y no publicadas que podían leerse sin iniciar sesión;
• un problema de XSS en las incrustaciones de Imgur;
• parámetros falsificables en el hook {status}_{type} que podían provocar colisiones de nombres de acciones.

Varios de ellos los reportaron investigadores de seguridad de Trail of Bits, OpenAI, Anthropic y Patchstack, otra muestra de todo lo que la investigación de seguridad asistida por IA está encontrando hoy en software de uso masivo. Las mismas correcciones se incluyeron en WordPress 7.0.7 y se trasladaron a todas las ramas que aún reciben correcciones de seguridad, hasta la 4.7. Aun así, solo la última versión tiene soporte activo, así que "seguir en 6.x con parches retroportados" no es un plan a largo plazo.

Además, 7.1.3 llega pocas semanas después de otras dos versiones de seguridad: 7.1.1 (17 de septiembre, 11 correcciones de seguridad) y 7.1.2 (22 de septiembre, una corrección crítica para un fallo que, bajo ciertas condiciones, podía permitir que un atacante no autenticado ejecutara código PHP). Si tu sitio se saltó alguna de ellas, está expuesto.

Comprueba que tienes la 7.1.3

En el escritorio, ve a Escritorio > Actualizaciones. Los sitios con las actualizaciones automáticas en segundo plano activadas ya deberían tenerla. Desde la línea de comandos:

# Show the installed version
wp core version

# Update to the latest release, then update the database if asked
wp core update
wp core update-db

# Update plugins and themes too
wp plugin update --all
wp theme update --all

Calendario de lanzamiento de WordPress 7.2

WordPress 7.2 está liderado por Matt Mullenweg, con David Baumwald como coordinador y George Mamadashvili y Peter Wilson como responsables técnicos. Este es el calendario oficial:

• Beta 1: 20 de octubre de 2026 (ya disponible)
• Beta 2, 3 y 4: 27 de octubre, 3 de noviembre y 10 de noviembre
• Release Candidate 1: 17 de noviembre, seguida de RC2 (24 de noviembre) y RC3 (1 de diciembre)
• Lanzamiento final: 8 de diciembre de 2026

Por primera vez, el lanzamiento se retransmitirá en directo como un webinar público, para que cualquiera pueda verlo. Los detalles para unirte se publicarán cuando se acerque la fecha.

Novedades de WordPress 7.2

Ipsum, un nuevo tema predeterminado

Está previsto que WordPress 7.2 incluya Ipsum, un tema de blog deliberadamente minimalista, a modo de lienzo en blanco. También marca el fin de los nombres de tema basados en años, como Twenty Twenty-Five: a partir de ahora, los temas predeterminados tienen nombre propio y cambian cuando el diseño lo requiere, no cada año.

Mejores notas, con el modo sugerencia en camino

Las notas, la función de comentarios del editor, incorporan reacciones con emojis, notas mostradas directamente en el lienzo y una vista minimizada. La hoja de ruta oficial considera el modo sugerencia, en el que propones cambios que el autor acepta o rechaza, la pieza central de este ciclo. No estaba en la Beta 1, así que tómalo como algo previsto hasta que una beta posterior lo confirme. La coedición en tiempo real no forma parte de 7.2.

Una Secrets API para credenciales

Los plugins suelen guardar claves de API y contraseñas como opciones en texto plano en la base de datos. 7.2 introduce una Secrets API con cifrado en reposo, rotación de credenciales y almacenamiento intercambiable. En 7.2 se espera que solo pueda gestionarse desde WP-CLI, con una pantalla de administración prevista para 7.3. Si desarrollas plugins que guardan credenciales de terceros, merece la pena adoptarla pronto.

Escritorio más rápido y medios más inteligentes

• Los scripts y estilos del escritorio ahora se cargan por separado, con precarga, en lugar de concatenarse, de modo que los navegadores los almacenan mejor en caché.
• La biblioteca de medios redimensiona, comprime y convierte las imágenes en el navegador antes de subirlas, lo que reduce la carga del servidor.
• El menú de administración y la barra de herramientas pasan de Dashicons a iconos SVG de la biblioteca de iconos de WordPress.

Y más

La Beta 1 también añade controles de galería adaptables, sombras de texto y degradados, estilos para elementos de formulario, un insertador de medios rediseñado y un widget de escritorio "Tal día como hoy". Las funciones de IA se quedan por ahora en el plugin oficial de IA: tienen que demostrar una adopción real antes de considerarse para el núcleo.

Cambios que podrían romper tu sitio

La mayoría de los sitios se actualizarán sin problemas, pero estos son los cambios que conviene probar, sobre todo si usas código personalizado:

• Modo SQL: NO_BACKSLASH_ESCAPES se elimina ahora por defecto del modo SQL de la conexión a la base de datos. El código que dependía de él necesita el filtro incompatible_sql_modes en un drop-in db.php, porque la base de datos se conecta antes de que se carguen los plugins.
• Iconos: unos 330 iconos del núcleo ahora se basan en trazos con fill: none. El CSS personalizado que cambia el color de los iconos con fill debería usar color en su lugar.
• Componentes obsoletos: los componentes Divider, ResponsiveWrapper, Scrollable, ZStack y Elevation quedan obsoletos y se eliminarán en 7.4.
• Carga de scripts: los plugins que daban por hecho que los scripts del escritorio se concatenaban deben revisarse con el nuevo comportamiento de carga.

/* Before: recolouring core icons with fill no longer works in 7.2 */
.my-plugin .components-button svg { fill: #ff9900; }

/* After: icons are stroke-based, so use color */
.my-plugin .components-button svg { color: #ff9900; }

Los requisitos de PHP no cambian en 7.2. La versión mínima compatible sigue siendo PHP 7.4 (desde WordPress 7.0), y la recomendada es PHP 8.3 o superior, con MySQL 8.0+ o MariaDB 10.11+.

Cómo probar WordPress 7.2 de forma segura

El propio proyecto WordPress recomienda probar las betas en WordPress Playground, en un sitio local o en un sitio de staging, y hacer una copia de seguridad antes. Nunca en el sitio que usan tus clientes.

Opción 1: una copia de staging de tu sitio

Es la prueba más útil, porque usa tu tema, tus plugins y tu contenido reales. Crea una copia de staging y actualízala a la beta:

# On the staging copy only
wp core version

# Install the current beta (use beta2, beta3... as they come out)
wp core update --version=7.2-beta1

# Or follow the latest development build
wp core update --version=nightly

# Go back to the stable release if needed
wp core update --version=7.1.3 --force

¿Prefieres hacer clic en lugar de escribir comandos? Instala el plugin WordPress Beta Tester en el sitio de staging, elige el canal "Bleeding edge" con "Beta/RC Only" y actualiza desde Escritorio > Actualizaciones.

Opción 2: WordPress Playground

WordPress Playground ejecuta una beta completa de WordPress 7.2 en tu navegador, sin instalar nada. Es ideal para echar un vistazo rápido a Ipsum y a las nuevas funciones del editor, pero no te dirá si tus propios plugins funcionan.

Deja en nuestras manos las actualizaciones de WordPress

Tres versiones de seguridad en cinco semanas, un parche crítico de PHP y una versión mayor en diciembre: mantener WordPress seguro se ha convertido en una tarea constante. Con el hosting WordPress gestionado de WebGee tienes todo lo necesario para que sea sencillo: SSL gratuito, copias de seguridad, caché LiteSpeed y soporte de WordPress 24/7, con un entorno de staging incluido a partir del plan Turbo, para que puedas probar WordPress 7.2 primero en una copia de tu sitio.

Cuando apareció PHP2Shell en octubre, nuestros ingenieros aplicaron el parche en todos los servidores cPanel y de WordPress gestionado de WebGee, sin que los clientes tuvieran que hacer nada. Ese es el tipo de mantenimiento del que nos encargamos por ti.