Razones para NO usar WordPress en 2026

En julio de 2026, investigadores de seguridad publicaron dos fallos del propio WordPress que, juntos, permitían a un completo extraño crear su propia cuenta de administrador en un sitio — sin contraseña, sin página de acceso, sin nada (Rapid7, 17 de julio de 2026). No fue un plugin roto. No fue un email engañoso. Fue WordPress.

El 21 de julio, cuatro días después, la agencia de ciberseguridad de EE. UU., CISA, añadió ambos fallos a su lista de vulnerabilidades que ya se usan en ataques reales. Para entonces circulaban varios scripts de ataque listos para usar.

WordPress publicó parches (versiones 6.9.5 y 7.0.2) y los forzó en los sitios con las actualizaciones automáticas activadas. Los demás siguieron abiertos hasta que alguien actualizó a mano. Y un sitio tomado así puede no mostrar más que una cuenta de administrador que nadie recuerda haber creado.

Esto no fue un caso aislado. 2026 fue el año en que el historial de seguridad de WordPress se volvió difícil de ignorar. Y no fue mala suerte. Fue por cómo está construido WordPress.

El año en que el argumento de la «base segura» murió

Durante años, el consejo estándar fue: WordPress en sí es seguro. Lo que tienes que vigilar son los plugins. Solo mantén todo actualizado y estarás bien.

En 2026, ese consejo dejó de funcionar. La base segura resultó ser el problema.

El ataque de julio — los investigadores lo llamaron «wp2shell» — encadenaba dos fallos en el núcleo de WordPress, el software principal en el que funciona cada sitio. El aviso de GitHub lo califica de crítico; la puntuación de gravedad publicada es de 7,5 sobre 10. Lo importante no es la cifra: no hace falta cuenta ni ayuda de nadie en el sitio, y un fallo así se corrige el mismo día.

El resultado: un extraño sin contraseña, sin acceso de administrador y sin conocimientos especiales podía tomar el control total de un sitio. Podía bloquear al dueño real, crear su propia cuenta de administrador y hacer lo que quisiera — robar datos de clientes, inyectar malware, redirigir visitantes a páginas de estafa o usar el sitio para atacar a otros.

Qué significa esto para ti: Ya no puedes confiar en que «WordPress en sí es seguro». El software que alimenta tu web puede ser el punto de entrada. Y no lo sabrás hasta que sea demasiado tarde.

El ataque que se suponía seguro

En abril de 2026 se supo que decenas de plugins de WordPress vendidos por una empresa llamada Essential Plugin — sliders, galerías, herramientas de marketing — llevaban escondida una puerta trasera. WordPress.org contó los plugins afectados en más de 20.000 sitios activos; el propio vendedor afirmaba tener más de 400.000 instalaciones (TechCrunch, 14 de abril de 2026).

Lo preocupante es esto: el malware no vino de un sitio sospechoso. Vino por el sistema normal de actualizaciones de WordPress. El sistema que se supone que debes confiar. El sistema que actualiza los plugins automáticamente cuando hay una nueva versión.

Alguien había comprado el negocio de plugins en 2025. Poco después, una actualización presentada como una simple revisión de compatibilidad coló código oculto, que no se usó hasta abril de 2026 (Patchstack). Quienes habían pulsado «actualizar» habían instalado una puerta trasera oculta — una entrada secreta que deja al atacante volver cuando quiera.

El malware se escribió en el archivo de configuración más importante del sitio. Luego seguía instrucciones de un servidor remoto: inyectar enlaces spam, crear páginas falsas, redirigir visitantes.

El 7 de abril, WordPress.org cerró los plugins de forma definitiva y envió una actualización forzada que intenta quitar la puerta trasera. Patchstack cita los cambios en ese archivo de configuración entre las señales de infección, así que quitar el plugin puede no bastar.

Qué significa esto para ti: El consejo estándar — «mantén tus plugins actualizados» — era literalmente el vector del ataque. Los hackers usaron el propio sistema de actualizaciones para entregar malware. No puedes confiar en el mecanismo que te dicen que debes usar.

Dos meses después, otra vez

En junio de 2026 volvió a pasar, por otra puerta. Los atacantes entraron en el sistema de actualizaciones con el que ShapedPlugin distribuye sus plugins «Pro» de pago y colaron código que robaba accesos de administrador y secretos de la verificación en dos pasos, con lo que tenían acceso completo a los sitios. Las versiones gratuitas de WordPress.org no se vieron afectadas (Aardwolf Security, 23 de junio de 2026).

Dos incidentes en tres meses, con la misma idea las dos veces: envenenar un canal de actualizaciones, esperar a que la gente pulse «actualizar» y entrar.

En seguridad informática esto se llama «ataque a la cadena de suministro». El malware entró por una actualización normal — la propia actualización estaba envenenada. Es como comprar una caja fuerte y que el fabricante tenga una llave de repuesto que no te dijo.

Qué significa esto para ti: No confías solo en el desarrollador del plugin. Confías en su sistema de actualizaciones, en sus prácticas de seguridad, en el historial de propiedad de la empresa y en toda su cadena de suministro. Es mucha confianza para una empresa que nunca has conocido, por un software que probablemente conseguiste gratis.

Los sitios de nicho también son objetivo

Si crees que tu pequeña web inmobiliaria o tu web local es demasiado pequeña para ser un objetivo, enero de 2026 demostró lo contrario.

RealHomes CRM, un plugin que viene con un tema muy usado para webs inmobiliarias, tenía un fallo que permitía a cualquiera con la cuenta más básica en el sitio subir archivos maliciosos y tomar el control. Estaba instalado en más de 30.000 webs (Infosecurity Magazine, 22 de enero de 2026). El parche llegó en la versión 1.0.1, y todos los sitios que no lo instalaron siguieron abiertos.

Qué significa esto para ti: Si estás en un nicho específico — inmobiliaria, legal, médico, cualquier campo con herramientas especializadas — no estás más seguro. En el código de los plugins de nicho mira mucha menos gente que en el de los grandes y populares, así que un fallo puede seguir ahí más tiempo. Y los atacantes saben dónde se usan esos plugins.

Tu web hackeada se convierte en un arma contra tus visitantes

La historia más escalofriante de 2026 no vino de un reporte de vulnerabilidad. Vino de los investigadores de Check Point, que descubrieron una operación criminal llamada StopAndProtect (informe del 18 de agosto de 2026).

La operación se construía sobre cerca de 2.000 sitios WordPress hackeados. Los criminales los usaban como infraestructura: alojando malware, controlando ordenadores infectados, almacenando archivos robados, capturas de pantalla y registros de víctimas.

Los propios registros de los operadores listaban alrededor de 2.000 dominios WordPress comprometidos. Más de 6.000 direcciones IP de víctimas. Unas 31.000 capturas de pantalla de víctimas recolectadas. Más de 700 archivos de datos robados.

Y esto es lo que encontraron los investigadores al estudiar por qué esos sitios eran tan fáciles de hackear: un sitio de la operación llevaba con la misma versión de WordPress desde 2021 — casi cinco años — con unos 40 agujeros de seguridad conocidos.

Los criminales no solo usaron los sitios hackeados para guardar lo robado. Los usaron para infectar a los propios visitantes. Un visitante entraba en un sitio WordPress hackeado y veía una falsa comprobación de «demuestra que eres humano». A quien usaba Windows le pedía ejecutar un comando en su ordenador, y ese comando instalaba el software de los criminales: en algunos equipos, ransomware que bloquea todos los archivos.

Qué significa esto para ti: Un sitio WordPress sin mantener no solo te perjudica a ti. Se convierte en un arma contra las personas que lo visitan. Tus clientes, tus posibles clientes, tus vecinos. Si tu web es hackeada y usada para infectar visitantes, es una confianza que jamás recuperarás.

El problema estructural que ninguna actualización puede arreglar

Cada incidente de 2026 fue uno de estos:

• Un fallo en un plugin de terceros que el dueño no conocía y no podía evaluar
• Un canal de actualizaciones que le dijeron que podía confiar
• O — una vez — el propio núcleo de WordPress

En cada caso, el dueño tenía que actuar en horas tras una noticia que casi seguro nunca vio.

Y ese es el problema estructural. Un sitio WordPress no es un documento. Es un programa en ejecución — con docenas de componentes de terceros, cada uno mantenido por una empresa distinta, cada uno actualizándose por su cuenta, y cada uno un posible punto de entrada para los atacantes.

¿Quién es el equipo de seguridad de un sitio WordPress que gestionas tú? En la práctica, muchas veces eres tú — aunque no te des cuenta.

El hosting gestionado para WordPress existe y ayuda. Empresas como WP Engine, Kinsta y SiteGround se encargan de la seguridad a nivel de servidor, envían actualizaciones automáticas del núcleo, hacen copias de seguridad diarias y escanean malware conocido. Para mucha gente, es una mejora real frente a gestionarlo por su cuenta.

Pero el hosting gestionado no resuelve el problema estructural. Los ataques de 2026 llegaron por actualizaciones normales — las mismas que el hosting gestionado instala por ti. Cuando Essential Plugin y ShapedPlugin enviaron malware en actualizaciones de plugins, el hosting no tenía motivo para bloquearlas. Cuando el núcleo de WordPress tuvo un fallo crítico, los sitios gestionados estuvieron abiertos hasta que llegó el parche, igual que los demás. Y ningún hosting gestionado audita el código de cada plugin que instalas. La decisión de confiar en un plugin — su desarrollador, su historial de propiedad, toda su cadena de suministro — sigue siendo tuya.

Estos ataques están diseñados para esa debilidad. Aprovechan que un fontanero, una panadera, quien lleva un salón o un abogado de pueblo no tiene tiempo para seguir las noticias de seguridad, auditar código de plugins e investigar cuentas de administrador sospechosas — y que pagar por hosting gestionado no cierra del todo esa brecha.

WordPress se puede asegurar. Las grandes empresas lo hacen — con equipos de seguridad dedicados, hosting gestionado, auditoría personalizada de plugins y monitorización 24/7. Pero para una sola persona, ese nivel de vigilancia es irreal.

La alternativa honesta: qué hace distinto un sitio estático

¿Cuál es la alternativa?

Un sitio web estático es un conjunto de archivos ya construidos — páginas que ya están creadas y simplemente se envían al navegador del visitante. No hay programa en ejecución, no hay base de datos, no hay página de acceso, no hay plugins.

Seamos honestos sobre lo que significa:

Lo que WordPress hace bien — y por qué puede convenirte:

• Un ecosistema enorme de temas y plugins
• Una interfaz de edición familiar
• La capacidad de añadir funciones complejas sin contratar un desarrollador
• Una comunidad enorme de diseñadores y desarrolladores que lo conocen

Lo que un sitio estático sacrifica:

• No puedes entrar y editar páginas directamente — los cambios los hace quien construye el sitio (en los sitios que hacemos: nos envías el cambio y lo hacemos; los cambios pequeños son gratis el primer mes, después 20 € cada uno, más IVA)
• No puedes instalar un plugin por impulso — añadir funciones requiere a tu desarrollador
• No puedes montar una tienda online compleja o una web de suscripciones — eso necesita funcionalidad dinámica

Lo que un sitio estático te da a cambio:

• Sin página de acceso para los atacantes — literalmente no hay nada donde entrar
• Sin plugins que explotar — no hay componentes de terceros que comprometer
• Sin base de datos que robar — no hay base de datos
• Sin canal de actualizaciones que envenenar — no hay nada que actualizar en el servidor

Fallos de plugins, actualizaciones envenenadas, vulnerabilidades del núcleo: los ataques que golpearon sitios WordPress durante todo 2026 no tienen nada que alcanzar en un sitio estático. No porque el sitio estático tenga mejor seguridad. Sino porque no tiene las partes que se atacan. Las contraseñas robadas siguen importando: quien entre en tu cuenta de alojamiento o de dominio puede cambiar el sitio, y por eso el inicio de sesión en dos pasos en esas cuentas es el cerrojo que no conviene saltarse.

Esto no es decir que los sitios estáticos son inhackeables. Nada conectado a internet lo es. Pero un sitio estático elimina la superficie de ataque — los lugares por donde entran normalmente los hackers.

Para un fontanero, una panadería, un salón, un bufete local, un sitio estático suele cubrir todo lo que la web tiene que hacer: una web rápida y profesional que dice a la gente quién eres, qué haces y cómo contactarte. Y lo hace sin obligarte a ser administrador de seguridad a media jornada.

¿Qué tan expuesto está tu sitio? Un chequeo de 30 segundos

Tómate 30 segundos y responde con honestidad:

• ☐ Mi sitio funciona con WordPress
• ☐ Tengo 5 o más plugins instalados
• ☐ No sé cuándo los actualicé por última vez
• ☐ No sé quién se encarga de la seguridad de mi sitio
• ☐ Me enteré de los incidentes de 2026 por este artículo

Si marcaste tres o más casillas, tu sitio es exactamente el tipo de objetivo que buscaban los atacantes de 2026. No por descuido tuyo — sino porque el sistema que usas exige más vigilancia de la que cualquier persona debería tener que mantener.

Conclusión

2026 fue el año en que el argumento de seguridad de WordPress cambió. La base segura resultó vulnerable. El canal de actualizaciones resultó ser un vector de ataque. Y miles de sitios quedaron atrapados en el fuego cruzado, usados como herramientas en operaciones criminales que sus dueños jamás conocieron.

No se trata de meter miedo. Se trata de enfrentar una verdad simple: un sitio WordPress exige una vigilancia de seguridad constante que es irreal para una sola persona. Un sitio estático elimina las partes que se atacan — y con ello, elimina la carga de ser tu propio equipo de seguridad.

Si tu web existe para decir a la gente quién eres y qué haces, no necesitas un programa en ejecución con docenas de componentes de terceros. Necesitas archivos publicados que sean rápidos, seguros y aburridos — en el mejor sentido posible.

Relacionado: ¿Qué es un sitio web estático y por qué quizás lo necesitas? — la explicación completa de cómo funcionan los sitios estáticos y qué no pueden hacer.

Relacionado: Por qué tu sitio WordPress se rompe — el problema de mantenimiento, desde caídas hasta el desgaste constante.

¿Tu sitio WordPress te preocupa? Rehacemos sitios WordPress como sitios estáticos, a precio cerrado, después de echar un vistazo gratis a tu web actual. Las direcciones antiguas de tus páginas redirigen a las nuevas.

Así funciona un rediseño →