WordPress 6.9.4: Parches de Seguridad Críticos

En pocas palabras: WordPress 6.9.4 (lanzado el 26 de marzo de 2026) parcheó tres vulnerabilidades críticas en el editor de bloques y permisos. Todos los sitios deben actualizar inmediatamente; estos exploits pueden comprometer contenido y datos de usuarios.

WordPress 6.9.4 fue lanzado el 26 de marzo de 2026 para cerrar tres vulnerabilidades de seguridad críticas en el editor de bloques y el sistema de permisos. Si tu sitio sigue en versiones anteriores, necesitás actualizar ahora.

WordPress es un sistema de gestión de contenidos (CMS) de código abierto creado por Matt Mullenweg en 2003. Se utiliza para crear, publicar y mantener sitios web, blogs y aplicaciones sin requerir programación avanzada.

Qué es WordPress 6.9.4 y por qué es urgente

WordPress 6.9.4 es una versión de mantenimiento menor pero crítica. No trae features nuevas (eso es para 7.0 que llega en junio), solo parches de seguridad. El tema es que estos parches cierran agujeros reales que pueden explotarse si ejecutás código sin validar en el editor de bloques.

La verdad es que desde que WordPress separó los permisos de edición en el block editor y el editor clásico, hubo un momento donde los dos sistemas no sincronizaban correctamente. Eso fue hace tres versiones, pero ahora lo encontraron en auditoría. Ojo acá: no es un ataque 0-day documentado en la salvaje, es algo que la WP Core Team descubrió internamente. Mejor así que enterarse por una carta de rescate, ¿no?

Guía de instalación paso a paso (el procedimiento seguro)

Antes de tocar nada en producción, necesitás un plan B. Ponele que sos admin de un sitio con 200 posts y 15 plugins activos. Subís la actualización de golpe, algo se rompe, y perdés la mañana debuggeando. Acá va la ruta correcta:

Paso 1: Respalda todo, en serio

Entrá a tu hosting (donweb.com, donde sea) y bajate el backup automático de las últimas 24 horas. Si tu servidor no genera backups automáticos, hacé uno ahora. No uses el plugin de respaldo de WordPress para esta tarea critical — usá mysqldump o el sistema de backups del hosting.

Comando rápido si accedés por SSH (y tu hosting lo permite):

mysqldump -u usuario -p nombre_db > backup_6_9_3.sql

Eso te genera un SQL que podés restaurar en 30 segundos si necesitás revertir.

Paso 2: Probá en staging primero

Si tenés un sitio staging con copia exacta de producción, actualizá ahí primero. Generá el backup que bajaste, restauralo en staging, activá WordPress en modo desarrollo (define(‘WP_DEBUG’, true) en wp-config.php), y entonces sí descargá la 6.9.4.

Corre todas tus pruebas: crea un post nuevo, edita uno viejo, probá con los plugins principales activos. Si algo rompe, ahora lo ves en staging, no en el sitio live con 500 usuarios intentando entrar.

Paso 3: Desactiva plugins conflictivos (solo si es necesario)

Algunos plugins viejos generan conflictos con el block editor de 6.9.4. Antes de actualizar, si reconocés que usás plugins que no se actualizaron desde 2024, desactiválos. La mayoría de los conflictos conocidos (hay una lista en el Trac de WordPress) son con:

• ACF versiones anteriores a 6.3 (pero 6.3 es de hace un año, así que si seguís actualizado, zafás)
• Elementor versiones anteriores a 3.22
• Plugins caseros que enganchan directamente a admin_enqueue_scripts sin verificar si es block editor

Entra a wp-admin, desactiva esos dos o tres, y recién entonces actualizá.

Paso 4: Actualizá desde wp-admin (el método común)

Escribí “actualizá” porque en WordPress no instalás nada manualmente. Entrás a wp-admin, Dashboard > Actualizaciones, ves que 6.9.4 está disponible, clickeás “Actualizar ahora”, y se hace sola. Tarda 2-5 minutos dependiendo del tamaño de tu sitio y la velocidad del servidor.

Si preferís WP-CLI (que es más rápido y te da logs útiles):

wp core update

Punto. Te descarga 6.9.4 y la instala.

Paso 5: Verificá que todo funciona

Post-actualización: entrá al sitio, crea un post borrador nuevo, edita uno viejo, probá subir una imagen, verificá que los plugins siguen respondiendo. Si ves errores 500, corta todo, rollback (mira la sección siguiente), y debuggea en staging.

Vulnerabilidades específicas parcheadas en 6.9.4

Las tres CVEs cerradas son todas en el scope de “privilege escalation” o “unauthorized modification”. Traducido al castellano: alguien con permisos bajos podía hacer cosas que no debería poder hacer.

CVE-2026-8734: Bypass de permisos en block editor

Un usuario con rol “Autor” (permissions: escribir posts propios) podía editar posts de otros autores si conocía la URL directa al post. No era visible en el listado, pero si ibas directo al permalink en mode edit, te dejaba meterte. No sabemos de exploits en la salvaje, pero habría que ver cuántos sitios tenían esto abierto sin darse cuenta.

CVE-2026-8735: Stored XSS en custom post types

Si tenías un custom post type con labels sin sanitizar, un admin podía inyectar JavaScript. Raro pero real. La mayoría de los plugins que crean custom post types ya lo hacen bien, pero los caseros que no validaban inputs quedaban expuestos.

CVE-2026-8736: Race condition en cache de REST API

Bajo condiciones específicas (mucho tráfico simultáneo a la REST API, si es que la habilitaste), podía haber un momento donde datos cacheados se servían sin validación. Es técnico y difícil de triggerear, pero en sitios de alto tráfico era un riesgo real. Esto se conecta con lo que analizamos en antes de actualizar.

Compatibilidad con plugins populares

Lo bueno: la mayoría de los plugins mantidos (WooCommerce, Jetpack, Yoast, MonsterInsights, etc.) ya reportaron compatibilidad full con 6.9.4. La mayoría ni siquiera necesitaba cambios.

Los rojos son plugins que no se actualizar desde 2024 o antes. Acá va la realidad brutal: si un plugin dejó de recibir updates, WordPress lo depreca. En algún punto, dejan de funcionar.

Plugins que sí reportaron conflictos pequeños (ya parcheados):

• WP Super Cache < 1.12.7 generaba caché corrupto post-actualización (pero 1.12.7 ya salió hace dos semanas)
• Gravity Forms < 2.8.1 no renderizaba bien los forms en block editor (problema UI, no de seguridad)
• Algunos temas child de Generatepress < 4.15 necesitaban forzar recompile de CSS

Resumido: si tus plugins se actualizaron en los últimos tres meses, estás tranquilo. Si no, revisá antes de tocar producción.

Cómo verificar si tu sitio ya está actualizado

Opción 1: entrá a wp-admin, Dashboard. La primera cosa que ves es tu versión. Si dice “WordPress 6.9.4”, listo. Actualización hecha.

Opción 2: por WP-CLI, desde SSH:

wp core version

Opción 3: mirá el código HTML del sitio. En el vas a ver una línea que dice algo como <meta name="generator" content="WordPress 6.9.4">. Es un indicador públicamente visible, así que cualquiera puede ver tu versión de WordPress leyendo el código fuente.

Ojo acá: algunos por paranoia remueven esa línea (define(‘WP_CONTENT_DIR’, …) y personalizan). Eso no te hace más seguro, solo te hace invisible. Los atacantes asumen que todo corre WordPress de todas formas.

Procedimiento de rollback (si algo se rompe)

Pasó algo mal. Post-actualización el sitio muestra errores 500. No entrar en pánico.

Opción A: Restaurar base de datos desde backup

Es la más segura. Volvés a 6.9.3 porque la BD no cambió, solo los archivos de WordPress cambiaron. Desde SSH (si tu hosting lo permite):

mysql -u usuario -p nombre_db < backup_6_9_3.sql

O si tu hosting tiene cPanel, entra a Backup > Restore > seleccioná el backup pre-actualización. Tarda un par de minutos.

Opción B: Downgrade de archivos con WP-CLI

Si sabés que la BD no se corrompió y solo necesitás volver los archivos de WordPress:

wp core download --version=6.9.3 --force

Eso descarga WordPress 6.9.3 y reemplaza los archivos sin tocar wp-content ni la BD.

Opción C: Desactivar todos los plugins y ver si el error desaparece

Si el error 500 viene de un plugin conflictivo, desactiválos todos (entra a cPanel/SFTP, renombra la carpeta wp-content/plugins a plugins-disabled, recarga el sitio). Si el sitio vuelve a la vida, ahora reactiválos uno por uno hasta identificar cuál rompe.

Mejores prácticas antes de actualizar WordPress

Vale la pena repetir esto porque mucho no lo hace. Si aprendiste algo de todo esto, aprendé esto.

1. Siempre respalda

No “respalda después por si acaso”. Respalda ANTES. Cada vez.

2. Probá en staging

Si no tenés staging, create uno. Es 10 minutos con Clone WP o duplicar el sitio en un subdominio. Vale cada minuto después. Complementá con la compatibilidad con plugins.

3. Mantené los plugins actualizados

WordPress se actualiza cada 4 semanas. Los plugins deberían hacerlo también. Si un plugin no se actualizó en 6 meses, es un zombie. Eliminalo. No ahorra nada, solo deuda técnica.

4. Documentá tus cambios custom

Si modificaste functions.php o agregaste snippets custom, dejá comentarios para tu yo del futuro. “Esto es un workaround para X porque Y”. En caso de que una actualización lo rompa, sabés dónde buscar.

5. Monitoreá el sitio post-actualización

Después de actualizar, abrí el sitio 5-10 minutos seguidos desde diferentes navegadores. No solo dashboardd, usuarios normales visitando posts. Si hay un error de compatibilidad, esos primeros 10 minutos lo muestran.

Errores comunes (y cómo no cometerlos)

Error 1: “Actualizar sin respaldar”

Pensás “seguro anda bien, es solo un parche”. Luego algo se rompe, no tenés rollback, y estás llamando al hosting a las 2 AM pidiendo que restauren un backup de hace una semana. Subí, bajate el SQL antes. Todo. No demora nada.

Error 2: “Actualizar directamente en producción sin probar”

Si tu sitio mueve dinero o tiene usuarios que dependen de él 24/7, eso es negligencia. Staginging existe por una razón. Usalo.

Error 3: “Dejar todos los plugins activos durante la actualización”

La mayoría anda bien, pero “la mayoría” no es “todos”. Si un plugin tiene gancho en init o early load, puede interferir. No cuesta nada desactivarlos, actualizar, y reactivarlos después.

Error 4: “Ignorar permisos de archivos”

Después de actualizar, algunos hosters resetean permisos. Si wp-content queda con permisos 644 en vez de 755, no podés subir imágenes. Verificá que wp-content y sus carpetas tengan permisos 755 post-actualización.

Error 5: “Actualizar plugins y WordPress al mismo tiempo”

Aislá las variables. Actualizá WordPress primero, esperá 24 horas (para ver que no hay issues), recién entonces actualizá plugins. Si algo se rompe, sabés exactamente qué lo rompió.

Preguntas Frecuentes

¿Es obligatorio actualizar a 6.9.4?

No es obligatorio, pero es urgente. Las vulnerabilidades son reales, potencialmente explotables, y tu sitio queda expuesto si no actualizás. Si tu blog es privado y sin usuarios editor, el riesgo es bajo. Si tienes un equipo editorial o WooCommerce vendiendo, hacelo ya.

¿Cuánto tiempo tarda la actualización?

2-5 minutos usualmente. Si tu base de datos tiene millones de posts o plugins que hacen trabajo pesado en init, puede tardar más. Por eso el respaldo y staging son críticos.

¿Qué pasa si actualizo pero no reinicio PHP?

Algunos hosters necesitan reinicio de PHP post-actualización. Si actualizás desde wp-admin, generalmente se hace automático. Si lo hacés por WP-CLI, algunos temas viejos pueden cachear código compilado. Reinicia PHP en el panel de control de tu hosting si ves comportamiento extraño.

¿Puedo quedarme en 6.9.3 indefinidamente?

Técnicamente sí, pero 6.9.4 es un parche de mantenimiento obligatorio. Quedarte en 6.9.3 es quedarte con tres agujeros de seguridad documentados. WordPress 7.0 sale en junio, y el soporte para 6.9 termina ahí. Plan a mediano plazo, actualizá versiones mayores cuando estén estables (3-4 semanas post-release).

Conclusión

WordPress 6.9.4 no es sexier que 6.9.3. No trae features nuevas. Lo que hace es cerrar agujeros de seguridad reales y documentados. Eso debería ser suficiente razón para actualizar.

El procedimiento es aburrido y repetitivo: respalda, prueba en staging, desactiva lo conflictivo, actualiza, verifica. Pero es el procedimiento correcto, y te ahorta 5 horas debuggeando si algo se rompe a las 3 AM un sábado.

Si tu sitio está actualizado al día hoy (30 de marzo de 2026), verificá que sea 6.9.4. Si estás en 6.9.3 o anterior, abrí wp-admin, Dashboard, y hacé clic en “Actualizar ahora”. Toma 5 minutos. El costo de no hacerlo es potencialmente tu sitio comprometido.

Fuentes

• WordPress.org — WordPress 6.9.4 Security Release Announcement
• Make WordPress Core — Security Page
• WordPress Developer Handbook — Data Validation for Plugins
• CVE Details — Security Vulnerability Database
• WordPress.org Support — Updating WordPress