CVE

Por qué importa en WordPress

Cuando un agujero de plugin se hace público, suele recibir un ID CVE (y a veces varios IDs relacionados). Escáneres, hosts y noticias usan ese ID para hablar del mismo fallo. Tu trabajo no es memorizar tablas CVSS. Es ver si tu versión instalada está afectada y si existe una versión corregida.

Cómo se ve en la práctica

• Títulos de avisos como “CVE-2026-##### en Nombre del plugin ≤ x.y.z”
• Escáneres de vulnerabilidades que listan el ID junto a severidad y versión corregida
• Posts de exploits que aparecen horas después de la divulgación
• Líneas de changelog que dicen en silencio “security fix” sin el CVE en la UI

Qué hacer

1. Empareja las versiones afectadas con lo que de verdad ejecutas.
2. Actualiza a la versión corregida cuando exista; quita abandonware si nunca va a llegar un arreglo.
3. Si debes retrasarte, mitiga (desactiva el plugin, restringe acceso, aprieta el WAF) y pon una fecha límite.
4. Tras parchear, confirma la versión y vigila los logs por tráfico de sondeo.