Tres golpes en cuatro meses

wp2shell

Una falla en el propio núcleo de WordPress permitía tomar el control del servidor sin contraseña y sin ningún plugin instalado. Gravedad 9.8 sobre 10, con ataques reales confirmados.

17 de julio

Llaves robadas de UpdraftCentral

Atacantes entraron a los servidores de la empresa detrás de UpdraftPlus, un plugin de copias de seguridad muy usado, y usaron sus llaves para instalar puertas traseras. Muchos de los sitios afectados estaban al día.

17 y 18 de octubre

PHP2Shell

Dos fallas graves en PHP, el lenguaje sobre el que corre WordPress. Actualizar WordPress no las resuelve: hay que actualizar el servidor.

21 de octubre

Y el contexto empeora. En 2025 aparecieron 11,334 vulnerabilidades nuevas en el ecosistema WordPress, el 91 % en plugins. En las fallas más atacadas, la explotación masiva llegó en apenas 5 horas. Un sitio que se actualiza una vez por semana llega tarde casi siempre.

La defensa tiene argumentos

El núcleo de WordPress casi nunca falla, y cuando falló, el parche salió el mismo día.
PHP2Shell no es exclusivo de WordPress: afecta a cualquier sistema en PHP. Te lo explicamos en cómo protegimos nuestros sitios.
La mayoría de los hackeos vienen de plugins abandonados, temas sin licencia o sitios que nadie actualiza.
WordPress es fácil de usar, barato de empezar y no te ata a un solo desarrollador.

La alternativa que estamos probando

Construir el sitio a medida, con tecnología moderna y un panel de administración hecho solo para lo que el cliente necesita. Ya lo estamos haciendo con un portal académico institucional que hoy vive en WordPress.

Menos piezas ajenas: sin decenas de plugins de distintos autores.
Sin puertas conocidas: los robots que atacan a ciegas las rutas de WordPress no encuentran nada.
Panel blindado: verificación en dos pasos, límite de intentos y registro de cada acción.
Más velocidad: las páginas se entregan desde caché.

El precio: más inversión al inicio, y cada función nueva se programa en lugar de instalarse. Comparamos estos costos en software a medida vs enlatado.

El giro: nada es invencible

En diciembre de 2025, React y Next.js, la tecnología que usamos en los sitios a medida, sufrieron React2Shell: una falla de gravedad máxima, 10 sobre 10, atacada casi de inmediato. Migrar no elimina el riesgo. Lo que sí hace es achicar el blanco y dejar la vigilancia en manos de un solo equipo.

¿Migrar o no? Tres preguntas

¿Tu sitio es la cara de una institución o maneja datos de personas? Entonces la migración gana peso.
¿Depende de muchos plugins o de temas de pago sin licencia? Cada uno es una puerta más.
¿Alguien lo actualiza el mismo día en que sale un parche? Si no, está expuesto con cualquier tecnología.

Nosotros estamos cerca de decidir. ¿Y tú, qué harías? Si no sabes en qué lado de la balanza está tu sitio, empieza por la auditoría gratuita.