Crecen los fallos graves en WordPress: qué significa para tu web

La semana pasada, el número de vulnerabilidades graves en WordPress aumentó un 102,2% respecto a la anterior. Esto no significa que tu web esté en peligro, pero sí que es un buen momento para revisar qué plugins y temas tienes instalados y si están actualizados. Aunque no todas las webs usan los productos afectados, los atacantes no lo saben y buscan en todas partes. Por eso, es importante estar preparado.

Lo que está pasando en el mundo

SWPanel vigila constantemente las vulnerabilidades publicadas en fuentes como Wordfence, CISA KEV, Nuclei y EPSS. Esta semana, se han identificado 666 nuevas fichas de vulnerabilidad en WordPress, de las cuales 182 son consideradas graves. Esto supone un aumento del 102,2% respecto a la semana anterior y una subida del 4,8% sobre la media de las últimas cinco semanas. La tendencia general es al alza, lo que indica que los desarrolladores y los atacantes siguen activos en este ecosistema.

Las fichas, CVE a CVE

CVE-2026-94268 (Advanced Custom Fields: Extended)

• Producto afectado: Plugin "Advanced Custom Fields: Extended" versión <= 0.9.2.7
• Qué es el fallo: Permite a un atacante no autenticado tomar el control de una cuenta de usuario, como si fuera el propio dueño de la web.
• Cómo se ataca: Aprovechando un error en cómo se manejan los permisos del plugin.
• Qué puede ocurrir: El atacante podría cambiar contraseñas, publicar contenido o incluso vender el acceso a otros.
• Gravedad (CVSS): 9,8
• Probabilidad de uso (EPSS): Alta
• ¿Ya se explota?: No hay datos de explotación activa.

CVE-2026-119096 (Uncanny Toolkit for LearnDash)

• Producto afectado: Plugin "Uncanny Toolkit for LearnDash" versión <= 3.8.2
• Qué es el fallo: Permite a un atacante no autenticado evitar la verificación de credenciales, como si no tuvieras contraseña.
• Cómo se ataca: Manipulando un parámetro en una solicitud web.
• Qué puede ocurrir: Acceso no autorizado a áreas restringidas de la web.
• Gravedad (CVSS): 9,8
• Probabilidad de uso (EPSS): Alta
• ¿Ya se explota?: No hay datos de explotación activa.

CVE-2026-106013 (Jupiter X Core)

• Producto afectado: Plugin "Jupiter X Core" versión <= 4.61.0
• Qué es el fallo: Permite a un atacante no autenticado engañar al sistema de inicio de sesión de redes sociales, como si fuera un usuario legítimo.
• Cómo se ataca: Usando un valor falso en un parámetro de verificación de Twitter o X.
• Qué puede ocurrir: Acceso no autorizado a cuentas de usuario.
• Gravedad (CVSS): 9,8
• Probabilidad de uso (EPSS): Alta
• ¿Ya se explota?: No hay datos de explotación activa.

CVE-2026-84999 (Pie Register Premium)

• Producto afectado: Plugin "Pie Register Premium" versión <= 3.8.4.0
• Qué es el fallo: Permite a un atacante no autenticado subir archivos arbitrarios a la web, como si fuera un usuario legítimo.
• Cómo se ataca: Usando una función AJAX mal protegida.
• Qué puede ocurrir: Subida de archivos maliciosos que pueden infectar la web o robar datos.
• Gravedad (CVSS): 9,8
• Probabilidad de uso (EPSS): Alta
• ¿Ya se explota?: No hay datos de explotación activa.

CVE-2026-109516 (Bot for Telegram on WooCommerce)

• Producto afectado: Plugin "Bot for Telegram on WooCommerce" versión <= 1.3.0
• Qué es el fallo: Permite a un atacante no autenticado engañar al sistema de Telegram para acceder a cuentas de usuario.
• Cómo se ataca: Usando un falso webhook de Telegram y fuerza bruta.
• Qué puede ocurrir: Acceso no autorizado a cuentas de usuario y robo de datos.
• Gravedad (CVSS): 9,8
• Probabilidad de uso (EPSS): Alta
• ¿Ya se explota?: No hay datos de explotación activa.

Y en SWPanel, qué?

SWPanel vigila activamente estas vulnerabilidades y las cruza con los datos de las webs alojadas en nuestros servidores. Si detectamos que tu web usa alguna de estas herramientas con versiones afectadas, te lo notificamos en el apartado de Seguridad 360. Además, si instalaste tu web desde SWPanel, puedes activar actualizaciones automáticas para WordPress, plugins y temas, lo que te ayuda a mantener tu web segura sin tener que preocuparte por ello.

Cómo hemos llegado hasta aquí

La evolución de las vulnerabilidades graves en WordPress ha sido fluctuante en las últimas semanas. Veamos los datos:

• 22/09 al 26/09: 122 vulnerabilidades graves
• 29/09 al 03/10: 132 (+8,2%)
• 06/10 al 10/10: 240 (+81,8%)
• 13/10 al 17/10: 284 (+18,3%)
• 20/10 al 24/10: 90 (-68,3%)
• 27/10 al 02/11 (esta semana): 182 (+102,2%)

La media de las últimas cinco semanas es de 174, y esta semana superamos ese promedio. El pico más alto fue de 284, y el mínimo de 90. La tendencia general es al alza, lo que indica que los desarrolladores continúan publicando correcciones y los atacantes siguen activos.

Qué está pasando detrás de los números

La subida de vulnerabilidades graves en WordPress refleja una actividad constante por parte de los desarrolladores y los atacantes. Por un lado, los desarrolladores publican actualizaciones para corregir fallos. Por otro lado, los atacantes buscan aprovechar cualquier vulnerabilidad no corregida. Esta semana, el aumento del 102,2% sugiere que se han publicado varias correcciones importantes, lo que no necesariamente significa que se estén explotando activamente, pero sí que es un buen momento para revisar tu web.

Qué podemos esperar

Si la tendencia se mantiene, lo previsible es que el número de vulnerabilidades graves siga creciendo en las próximas semanas. Un escenario optimista sería que los desarrolladores sigan publicando actualizaciones rápidas y que los atacantes no encuentren nuevas formas de explotar los fallos. Un escenario pesimista sería que los atacantes encuentren formas de explotar estos fallos de manera automatizada, lo que podría llevar a un aumento de ataques reales.

Cómo puede afectar a tu web o a tu negocio

Escenario 1: Web caída

Imagina que tienes una tienda online y usas un plugin con una vulnerabilidad no corregida. Un atacante podría aprovecharla para inyectar código malicioso que haga caer tu web. Esto significa que tus clientes no podrán acceder a tu tienda, lo que se traduce en pérdidas de ventas y clientes frustrados.

Escenario 2: Robo de datos

Si un atacante toma el control de tu web, podría robar datos de tus clientes, como direcciones, correos o incluso números de tarjetas de crédito. Esto no solo afecta a tu reputación, sino que también puede implicarte legalmente si no cumples con la RGPD.

Escenario 3: Pérdida de posicionamiento

Si tu web se infecta con malware, Google puede marcarla como insegura, lo que hace que desaparezca de los resultados de búsqueda. Esto significa que tu tienda o blog pierde visibilidad y clientes.

Cómo protegerte y prevenir

1. Actualiza plugins y temas regularmente: Las actualizaciones suelen incluir correcciones de seguridad. Si instalaste tu web desde SWPanel, puedes activar actualizaciones automáticas.
2. Usa contraseñas fuertes y 2FA: Una contraseña débil es como una puerta con una cerradura de juguete. Usa contraseñas largas y únicas, y activa la autenticación de dos factores (2FA) para añadir una capa extra de seguridad.
3. Revisa los plugins instalados: No uses plugins que no necesites. Cada plugin es una puerta potencial para los atacantes.
4. Usa un firewall web: Un firewall filtra las solicitudes maliciosas antes de que lleguen a tu web. Si tienes un firewall activo, es como tener un portero que revisa quién entra.
5. Habilita el análisis de seguridad en Seguridad 360: Este análisis detecta si tu web usa plugins o temas con vulnerabilidades conocidas. Te ayuda a identificar problemas antes de que alguien los aproveche.
6. Haz copias de seguridad periódicas: Si tu web se infecta, una copia de seguridad reciente te permite recuperarla rápidamente. Es como tener una copia de seguridad de las llaves de tu casa.
7. Usa un bloqueador de bots: Los bots automatizados intentan adivinar contraseñas o encontrar vulnerabilidades. Un bloqueador de bots los detiene antes de que puedan hacer daño.
8. Mantén actualizado PHP: Si tu web usa una versión de PHP sin soporte, no recibirá parches de seguridad. Cambia a una versión con soporte desde el panel de hosting.
9. Activa las notificaciones de seguridad: Si instalaste tu web desde SWPanel, puedes recibir notificaciones cuando se publique una vulnerabilidad que afecte a tu web.
10. Revisa los permisos de los usuarios: Asegúrate de que solo los usuarios necesarios tengan acceso a áreas sensibles de tu web. Es como darle las llaves de tu casa solo a los que realmente las necesitan.

Qué herramientas de SWPanel te ayudan

• Análisis de seguridad en Seguridad 360: Detecta plugins y temas con vulnerabilidades conocidas. Te ayuda a identificar problemas antes de que alguien los aproveche.
• Avisos de seguridad en Seguridad 360: Te notifica cuando se publica una vulnerabilidad que afecta a tu web. Es como tener un guardia que te avisa cuando hay un problema.
• BotLock: Bloquea bots y rastreadores maliciosos. Es como tener un portero que revisa quién entra a tu web.
• Firewall web: Filtra ataques web antes de que lleguen a tu aplicación. Es como tener un muro que protege tu casa.
• Actualización automática de CMS: Si instalaste tu web desde SWPanel, puedes activar actualizaciones automáticas para WordPress, plugins y temas. Te ayuda a mantener tu web segura sin tener que preocuparte por ello.
• Copias de seguridad: Si tu web se infecta, una copia de seguridad reciente te permite recuperarla rápidamente. Es como tener una copia de seguridad de las llaves de tu casa.
• Cambio de versión de PHP: Si tu web usa una versión de PHP sin soporte, no recibirá parches de seguridad. Cambia a una versión con soporte desde el panel de hosting.
• Soporte por ticket: Si tienes dudas o necesitas ayuda, puedes contactar con nosotros por ticket. Te ayudamos a resolver problemas de seguridad y a mantener tu web segura.

Resumen rápido

• El número de vulnerabilidades graves en WordPress ha aumentado un 102,2% esta semana.
• Es importante revisar los plugins y temas instalados y mantenerlos actualizados.
• SWPanel vigila estas vulnerabilidades y te avisa si afectan a tu web.
• Usa herramientas como el análisis de seguridad, el firewall y las copias de seguridad para protegerte.

Fuentes

Los datos de esta semana provienen de catálogos públicos de vulnerabilidades como CISA KEV, Wordfence, Nuclei, Exploit-DB, Emerging Threats y EPSS.