El miércoles 28 salió WordPress 7.1.4, la cuarta versión de seguridad en 41 días. Corrige una docena de fallos y el más serio está en el propio actualizador: mientras WordPress descomprime una actualización completa, alguien sin cuenta puede llegar a ejecutar código si da con la ruta temporal. Hay versiones corregidas para todas las ramas desde la 4.7, y los sitios con actualizaciones automáticas ya deberían tenerla.
La ventana es de segundos y aun así Wordfence bloqueó casi 63.000 intentos en 24 horas. Si gestionas sitios con las actualizaciones automáticas apagadas, revísalos hoy. En Drupal la cosa está peor: Commerce Core tiene un fallo de control de acceso que ya se está explotando. Si llevas una tienda con Drupal, actualiza antes de seguir leyendo.
Lo que más me ha llamado la atención es el contraste con Composer 2.11. Mientras todo el mundo nos pide parchear cuanto antes, Composer estrena una política de «cooldown» que hace lo contrario con las dependencias: retiene las versiones recién publicadas el tiempo que tú le digas, un día o una semana, antes de instalarlas. La idea es que, si alguien publica una versión maliciosa de un paquete, dé tiempo a detectarla antes de que llegue a tu proyecto. Viene desactivada y se activa con la opción policy.cooldown.period. Así que hay dos velocidades: el parche de seguridad, ya; la versión nueva de una dependencia, con calma.
Dos cosas más del mismo frente. Symfony aclara qué había en sus últimas versiones de mantenimiento: la lista de cambios repetía avisos antiguos y el único fallo nuevo es una inyección de cabeceras en Mime. Y el equipo de seguridad de WordPress cuenta cómo van sus dos primeros meses: han pasado de recibir entre 20 y 30 informes al mes a 773 en agosto, buena parte encontrados con herramientas de IA, y ya tienen automatizado el 73 % del proceso de publicación. Eso explica el ritmo de parches de este otoño, y no creo que vaya a bajar.
Lo más importante
Cuarta versión de seguridad de WordPress en 41 días, un fallo de Drupal Commerce que ya se explota y un Composer que te deja esperar antes de instalar. Lo imprescindible:
- WordPress 7.1.4, actualización de seguridad — Corrige una docena de fallos. El peor permite ejecutar código mientras WordPress descomprime una actualización completa. Hay versiones corregidas para todas las ramas desde la 4.7.
- Drupal Commerce: un fallo de control de acceso que ya se explota — Commerce Core no protegía bien algunas rutas y campos, y Drupal confirma ataques reales. Si tienes una tienda con Drupal, actualiza a la versión corregida de tu rama.
- Composer 2.11 te deja esperar antes de instalar una versión nueva — Estrena una política de «cooldown» que retiene las versiones recién publicadas el tiempo que configures. Viene desactivada. Incluye además seis correcciones de seguridad.
- Casi 63.000 intentos de explotar el fallo del actualizador en 24 horas — Wordfence cuenta los ataques que bloqueó justo después del parche. La ventana dura segundos y aun así lo están intentando en masa.
- Symfony aclara las entradas de seguridad de 5.4.55, 6.4.49, 7.4.22 y 8.1.10 — La lista de cambios repetía avisos antiguos. El único fallo nuevo es una inyección de cabeceras en Mime, y si sigues en Symfony 8.0 ya no tiene soporte.
- Los dos primeros meses de la iniciativa de seguridad de WordPress — Cuatro versiones de seguridad en 41 días y un salto de 20 o 30 informes al mes a 773 en agosto. Explica el ritmo de parches de este otoño.
- bbPress 2.6.21 también es de seguridad — Refuerza el control de acceso en feeds, búsquedas, foros de grupo y adjuntos. Si tienes foros con bbPress, actualiza.
PHP y Symfony
PIE cambia cómo se instalan extensiones en CI y PHP2Shell sigue dando que hablar. Además, Symfony 8.2 compila las expresiones y ECS ya corre en Go.
- PIE 1.5 cambia cómo se instalan las extensiones en CI — Ya no elige el paquete por ti en modo no interactivo: tienes que indicarlo con
--select=redis=phpredis/phpredis. Llegan tambiénpie upgradeypie search. - Brent Roose: los parches para versiones sin soporte no son un plan — Los paquetes corregidos de Ondřej Surý salvaron a mucha gente con PHP2Shell, pero dependen de una sola persona. Su consejo es actualizar ya.
- Cloudflare paga por saltarse su WAF con PHP2Shell — Un reto en HackerOne con un entorno vulnerable a propósito. Recompensan cada técnica de evasión distinta que encuentres.
- Symfony 8.2 compila y valida las expresiones — Las de
#[IsGranted],access_controly los guards de workflow pasan a PHP al calentar la caché, de 15–30 µs a 1 µs. Ylint:expressionslas revisa en CI. - Tomas Votruba porta ECS a Go — Easy Coding Standard pasa de más de 2 minutos a unos 4 segundos sin caché en el repositorio de Symfony.
- Un visor de logs interactivo con Symfony TUI — Un comando que lee los logs del servidor, agrupa las visitas y clasifica qué bots y crawlers de IA te visitan. Con Console, HttpClient y el componente experimental TUI.
- CakePHP 5.4.4, 5.3.8, 5.2.16 y 4.6.6 con parches de seguridad — Versiones de mantenimiento para las cuatro ramas con soporte. Si usas CakePHP, toca actualizar.
- Actualiza PhpStorm por los certificados de eMudhra — JetBrains publica versiones corregidas de sus IDE, Toolbox y Gateway tras el compromiso de los certificados de eMudhra.
Laravel
Semana de paquetes: WordPress dentro de Laravel, workers de cola que gastan menos memoria y una forma sensata de dar permisos a un agente por MCP.
- Pollora: WordPress dentro de una aplicación Laravel — El router de Laravel y Blade pintan el front, mientras el escritorio y los plugins de WordPress siguen funcionando. Licencia MIT.
- queue-prefork recorta la memoria de los workers de la cola — Un paquete que promete hasta un 80 % menos de memoria en los workers de la cola de Laravel.
- Herramientas MCP que actúan con los permisos del usuario — Si conectas un agente a tu aplicación, que actúe como quien lo conectó: las habilidades del token de Sanctum deciden si lee o escribe y tus policies, qué registros toca.
- Búsqueda semántica con el SDK de IA de Laravel — La charla del último Laravel Worldwide Meetup, en vídeo.
WordPress
WordPress 7.2 ya tiene fecha, Gutenberg 24.3 trae formato entre bloques y hay datos frescos sobre qué versiones se usan en Europa. Si estás en España, mira la agenda de meetups.
- WordPress 7.2 beta 2 — La versión final está prevista para el 8 de diciembre. Avanza la Abilities API, DataViews y DataForm admiten registro desde el servidor y el escritorio pasa a iconos SVG.
- Novedades de Gutenberg 24.3 — Formato en selecciones que abarcan varios bloques, un insertador de medios rediseñado y avisos más claros cuando falla el guardado.
- Qué versiones de WordPress y PHP se usan en Europa — Nettingale analiza cuatro millones de portadas: el 21,6 % de los WordPress va con una versión anterior a la 6.9 y, de los que muestran PHP, el 23 % sigue en PHP 7.
- WordPress.com: gestiona tus sitios desde ChatGPT o Claude — Ya puedes conectar tu cuenta por MCP y hablar con tus sitios. Y el WordPress Agent monta una tienda con WooCommerce a partir de lo que quieres vender.
- Meetups y WordCamps en España en noviembre — Palma, Granada, A Coruña, Granollers y Málaga tienen meetup este mes, y el 30 hay WordPress Campus Connect en A Coruña.
Más allá de PHP
Si programas con agentes, empieza por la primera. Y un dato sobre Stack Overflow que da que pensar.
- Una extensión de Claude Code troyanizada abre una puerta trasera SSH — Las versiones 2.1.312 y 2.1.313 del Marketplace de Cursor añadían una clave SSH y un túnel inverso. El artículo explica cómo comprobar si te afectó.
- Stack Overflow recibe menos de 1.000 preguntas al mes — Fueron 969 en septiembre, frente a 141.749 en octubre de 2020. El propio blog de Stack Overflow responde esta semana que su muerte es una exageración.
- GitHub prueba un cortafuegos para npm — Bloquea paquetes sospechosos en el momento de instalarlos. La misma preocupación que el cooldown de Composer, atacada desde el registro.
- Más de mil servidores de GitLab siguen expuestos a un RCE crítico — Tres semanas después del parche, el fallo de máxima gravedad sigue abierto en muchas instalaciones y ya se explota.
Para escuchar
Dos en español y dos en inglés. Si solo tienes tiempo para uno, el de Fernando Tellado resume bien estas semanas.
- #CrónicasWordPress: PHP2Shell, el tráfico de ChatGPT y WordPress 7.2 — Fernando Tellado repasa en español lo que ha movido la comunidad estas semanas.
- Negocios y WordPress 262: skills, agentes y proyectos — En español: cómo pasar de hacer webs a montar negocios con skills y agentes.
- The PHP Podcast del 29 de octubre — Joe Ferguson, Sara Golemon y Holly Schilling comentan, entre otras cosas, cómo aterrizó el parche de la RCE de PHP.
- Ship For Brains 1: parches de PHP, Elementor y el estado de WordPress — Primer episodio de un pódcast nuevo sobre WordPress y PHP.