Si tu sitio web funciona con WordPress, esto te interesa. El 17 de julio de 2026, el equipo de seguridad de WordPress publicó una actualización de emergencia para corregir un fallo grave que afecta al núcleo mismo de WordPress, no a un plugin ni a un tema. Eso significa que, aunque tengas una web sencilla, sin extensiones raras ni configuraciones especiales, puede estar expuesta.
Los expertos que descubrieron el problema lo han bautizado como «wp2shell» (registrado oficialmente como CVE-2026-63030), y lo más preocupante es que ya se están detectando ataques reales aprovechándolo, apenas horas después de hacerse público.
¿Qué ha pasado, en palabras sencillas?
WordPress tenía dos pequeños fallos de seguridad que, por separado, no eran demasiado graves. El problema es que alguien descubrió cómo combinarlos.
- El primero permitía a un atacante «confundir» al sistema y saltarse el control que comprueba si tiene permiso para hacer algo.
- El segundo era un fallo que, en teoría, solo podía usar alguien que ya hubiera iniciado sesión en la web.
Al combinarlos, un desconocido, sin usuario ni contraseña, puede colarse por esa rendija, acceder a la base de datos de tu web, robar las credenciales de un administrador y, a partir de ahí, tomar el control completo del sitio: cambiar contenido, instalar código malicioso, robar datos de clientes o usar tu servidor para otros fines ilícitos.
¿Mi web está afectada?
Depende de qué versión de WordPress tengas instalada:
| Tu versión actual | ¿Estás en riesgo? | Qué hacer |
|---|---|---|
| Anterior a la 6.8 | No afectada | Ninguna acción urgente |
| 6.8.0 a 6.8.5 | Sí (riesgo medio) | Actualizar a 6.8.6 |
| 6.9.0 a 6.9.4 | Sí (riesgo crítico) | Actualizar a 6.9.5 |
| 7.0.0 a 7.0.1 | Sí (riesgo crítico) | Actualizar a 7.0.2 |
Puedes comprobar tu versión entrando en el panel de administración de tu web y mirando la esquina inferior del escritorio, o en el apartado «Actualizaciones».
Un matiz importante: WordPress ha intentado actualizar automáticamente todas las webs afectadas, y proveedores como Cloudflare han desplegado reglas de protección adicionales para sus clientes. Es una buena noticia, pero no es infalible. Si tu hosting tiene las actualizaciones automáticas desactivadas, si hay algún problema de permisos en el servidor, o si tu web tiene una configuración personalizada, es posible que esa actualización automática no se haya aplicado. La única forma de estar seguro es comprobarlo manualmente.
¿Por qué esto es más urgente que otros avisos de seguridad?
Porque no hace falta que el atacante tenga cuenta, ni que engañe a nadie, ni que exista un plugin mal configurado. El fallo está en el propio WordPress, de fábrica. Eso convierte a millones de webs idénticas en el mismo blanco fácil, y explica por qué, según el aviso de Wordfence, los primeros ataques automatizados empezaron el mismo día en que se hizo pública la vulnerabilidad.
Actualizar no siempre es suficiente
Aquí hay un punto que mucha gente pasa por alto: si tu web estuvo expuesta antes de aplicar el parche, actualizar cierra la puerta de entrada, pero no elimina lo que un atacante ya pudiera haber dejado dentro, como una cuenta de administrador falsa o un archivo malicioso escondido. Por eso, en casos como este, no basta con pulsar «actualizar» y olvidarse: hace falta revisar la web para confirmar que no hubo intrusión antes del parche.
Esto es exactamente para lo que existe el mantenimiento web
Este caso resume muy bien por qué tener una web en WordPress «funcionando» no es lo mismo que tenerla «protegida». Entre que se publica una vulnerabilidad crítica y que empiezan los primeros ataques automatizados pueden pasar solo unas horas. Si nadie está revisando tu web ese día, la ventana de riesgo puede durar días o semanas sin que te enteres.
Con mi servicio de mantenimiento web me encargo de:
- Monitorizar avisos de seguridad como este en tiempo real y actuar de inmediato, sin esperar a que tú te enteres por las noticias.
- Verificar que las actualizaciones se aplican de verdad, no solo confiar en que el sistema automático haya funcionado.
- Revisar tu web tras cualquier incidente crítico, comprobando que no hay usuarios ni archivos sospechosos.
- Aplicar copias de seguridad periódicas, para poder restaurar tu web al instante si algo sale mal.
No necesitas entender de CVEs, parches ni código para tener una web segura. Solo necesitas que alguien lo esté vigilando por ti.
¿Quieres saber si tu web está afectada ahora mismo? Contáctame hoy y en menos de 24 horas te confirmo el estado de tu instalación y, si es necesario, la pongo a salvo.
