Si tu web WordPress usa el plugin Advanced Custom Fields: Extended PRO (ACF Extended PRO), conviene que revises hoy qué versión tienes instalada. El 3 de noviembre de 2026, Patchstack publicó un aviso sobre una vulnerabilidad crítica en este complemento, identificada como CVE-2026-120534.
En este artículo te explicamos, sin tecnicismos, qué ha detectado Patchstack, a quién afecta y cómo comprobar en pocos minutos si tienes que actuar.
Información consultada el 4 de noviembre de 2026. Los datos proceden del aviso de Patchstack; revisa la fuente por si se ha actualizado.
Qué ha detectado Patchstack
ACF Extended PRO es un complemento de pago que amplía las funciones de Advanced Custom Fields, muy usado para crear campos y formularios personalizados en WordPress.
Según Patchstack, el fallo permite ejecutar código en el servidor de forma remota y sin iniciar sesión. Es decir, quien lo aproveche no necesita usuario ni contraseña de la web.
Qué puede implicar
En la práctica, un atacante podría actuar sobre la web y el servidor donde está alojada como si tuviera acceso a ellos: modificar contenidos, instalar código malicioso o acceder a información.
Patchstack le asigna una puntuación CVSS de 10 sobre 10, la máxima, y la marca como vulnerabilidad ya explotada («Known to be exploited»). Por eso es importante revisarlo cuanto antes.
A quién afecta
Solo afecta a las webs que tienen instalado ACF Extended PRO en una versión vulnerable:
| Versión | |
| Afectadas | 0.9.2.6 y anteriores |
| Fallo corregido en | 0.9.2.7 |
| Última versión disponible (a 4/11/2026) | 0.9.2.8 |
A quién no afecta
No todas las webs WordPress están afectadas. Este aviso no se refiere a Advanced Custom Fields (ACF), a ACF PRO ni a WordPress en general: son productos distintos, aunque tengan nombres parecidos.
Cómo comprobar si tu web está afectada y actualizar
- Comprueba si el plugin está instalado. Entra en el escritorio de WordPress, ve a Plugins y busca «Advanced Custom Fields: Extended PRO».
- Revisa la versión. Aparece debajo del nombre del plugin. Si es la 0.9.2.6 o anterior, tienes que actualizar.
- Haz una copia de seguridad. Guarda una copia completa de la web y de la base de datos antes de tocar nada.
- Actualiza a la última versión disponible. La 0.9.2.7 corrige este fallo, pero Patchstack ha publicado otros dos avisos que afectan a esa versión y que se corrigen en la 0.9.2.8. Por eso recomendamos instalar la versión más reciente.
- Comprueba que todo funciona. Revisa las páginas y formularios que usan campos personalizados para confirmar que la actualización no ha afectado a nada.
Si no puedes actualizar de inmediato, pide ayuda a tu proveedor de alojamiento o a tu equipo de desarrollo web.
Preguntas frecuentes
¿Mi web WordPress está en riesgo si no uso ACF Extended PRO? Por este aviso, no. Solo afecta a webs con ACF Extended PRO en la versión 0.9.2.6 o anteriores.
¿Uso ACF o ACF PRO, tengo que hacer algo? Este aviso no se refiere a esos plugins. Aun así, mantenerlos actualizados es siempre una buena práctica.
¿Basta con actualizar a la 0.9.2.7? Corrige este fallo concreto, pero la 0.9.2.8 resuelve otros problemas de seguridad publicados por Patchstack. Lo recomendable es la última versión disponible.
¿Qué hago si la actualización rompe algo? Restaura la copia de seguridad y revisa la compatibilidad con tu tema y el resto de plugins antes de volver a intentarlo.
Si usas ACF Extended PRO y no sabes cómo comprobarlo o prefieres que lo veamos contigo, escríbenos a sac@bluumi.com o desde nuestra página de contacto. Cuéntanos tu caso y lo revisamos juntos.
