Seguridad en WordPress: guía para empresas en 2026

WordPress mueve el 39,5 % de todas las webs del mundo, según W3Techs. Por eso es también el objetivo favorito de los atacantes. En 2026 no ha fallado solo algún plugin olvidado: ha tenido fallos graves el propio núcleo de WordPress, plugins instalados en cientos de miles de webs e incluso PHP, el lenguaje sobre el que funciona. Y lo más importante: se atacaron en cuestión de días.

En esta guía te contamos qué ha pasado este año, qué ha cambiado y qué medidas protegen de verdad la web de una empresa, con fuentes oficiales y sin tecnicismos de más.

Estos son los fallos más graves de los últimos meses que afectan a webs WordPress:

«Atacado» quiere decir que hay constancia de ataques reales: la mayoría están en el catálogo de fallos explotados de la Agencia de Ciberseguridad de Estados Unidos (CISA), y los ataques al de Elementor Pro los confirmó Wordfence.

• El tiempo entre el aviso y el ataque se ha reducido a días. El fallo de PHP de octubre ya se estaba explotando a los pocos días de anunciarse. Actualizar «cuando haya un rato» ya no es una opción.
• Actualizar no siempre basta. En el caso de Rank Math, el problema estaba en la propia actualización oficial, y en el de UpdraftCentral, en unas claves robadas al fabricante. Hay que actualizar y vigilar qué pasa después en la web.
• No es solo WordPress. El fallo de PHP afectaba a cualquier web hecha con PHP, fuera o no WordPress. La seguridad de una web incluye el servidor donde está.

La guía oficial de WordPress para blindar una web insiste sobre todo en mantenerlo todo actualizado. Estas son las medidas que recomienda, junto con las que aplicamos nosotros en las webs que mantenemos:

1. Actualiza el núcleo, los plugins y los temas, y comprueba después que la web sigue funcionando. Mejor con una copia previa y la posibilidad de volver atrás.
2. Usa una versión de PHP con soporte. PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026; la 8.3 los recibe hasta finales de 2027. Una versión sin soporte no se arregla aunque se publique un fallo.
3. Quita los plugins y temas que no uses y desconfía de los abandonados: lo que no está instalado no se puede atacar.
4. Instala solo desde fuentes oficiales. Nunca plugins «premium» descargados de webs no oficiales: suelen traer puertas traseras.
5. Contraseñas largas y verificación en dos pasos para todos los administradores.
6. Revisa los usuarios administradores de vez en cuando: un administrador que no reconoces es la señal más clara de un ataque.
7. Copias de seguridad fuera del servidor, con varias versiones y comprobando que se pueden restaurar. Si la copia está en el mismo servidor que la web, el atacante también puede borrarla.
8. Un cortafuegos (por ejemplo, el de Cloudflare o uno en el servidor) que frene ataques conocidos antes de que lleguen a WordPress.
9. Bloquea la ejecución de PHP en la carpeta de subidas y desactiva el editor de archivos del panel. Así, aunque alguien consiga subir un archivo, no podrá ejecutarlo.
10. Vigila la web: avisos de vulnerabilidades de lo que tienes instalado, registros de accesos y cambios en los archivos.

Ayudan, pero no sustituyen a lo anterior. Los hay de varios tipos:

• Cortafuegos y escáneres de malware, como Wordfence, que bloquean ataques conocidos y revisan los archivos.
• Avisos de vulnerabilidades, como WPVulnerability, que te dicen si algo de lo que tienes instalado tiene un fallo conocido.
• Parches virtuales, como los de Patchstack, que bloquean un fallo antes de que llegue la actualización oficial.

Un plugin de seguridad es una capa más: si la web no se actualiza o las copias no funcionan, no te salvará.

Si tu web recoge datos personales (un formulario de contacto, una tienda online, un área de clientes), el RGPD te obliga, en su artículo 32, a aplicar «medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo», entre ellas poder restaurar los datos rápidamente tras un incidente. Y si hay una brecha, el artículo 33 obliga a comunicarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas, salvo que sea improbable que suponga un riesgo.

¿Y NIS2? Es la directiva europea de ciberseguridad para sectores críticos (te lo contamos aquí). En España todavía no hay ley publicada: existe un anteproyecto de enero de 2025, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026 por no haberla trasladado. Afecta sobre todo a empresas medianas y grandes de sectores como la energía, el transporte o la salud, aunque una pyme puede notarla si trabaja para una de ellas.

1. No borres nada ni restaures una copia por tu cuenta: primero hay que saber por dónde han entrado.
2. Cambia las contraseñas del panel, del hosting y de la base de datos.
3. Revisa los administradores y los plugins instalados.
4. Busca ayuda profesional para limpiar la web, cerrar la puerta por la que entraron y recuperarla desde una copia limpia. Te contamos cómo recuperamos una web hackeada.
5. Si había datos personales, valora con tu asesor si hay que notificar la brecha en esas 72 horas.

Si alguien se encarga de tu web, estas preguntas te dirán si está bien protegida:

1. ¿Cada cuánto actualizáis WordPress, los plugins y los temas, y cómo comprobáis que todo sigue funcionando?
2. ¿Qué versión de PHP usa mi web y hasta cuándo tiene soporte?
3. ¿Dónde están las copias de seguridad? ¿Fuera del servidor?
4. ¿Cuándo fue la última vez que comprobasteis que se pueden restaurar?
5. ¿Cómo os enteráis de que un plugin que tengo instalado tiene un fallo?
6. ¿Cuánto tardáis en aplicar un parche crítico?
7. ¿Mi web tiene cortafuegos?
8. ¿Quién tiene acceso de administrador y usa verificación en dos pasos?
9. ¿Hay algún plugin instalado que no se use o que esté abandonado?
10. Si mañana me hackean, ¿qué haríais y en cuánto tiempo?

No. WordPress se revisa y corrige continuamente, y la mayoría de los ataques aprovechan webs sin actualizar o plugins abandonados. Lo inseguro es tener una web sin mantener, sea o no WordPress.

No. Es una capa más, pero no sustituye a las actualizaciones, las copias fuera del servidor y la vigilancia.

Las actualizaciones de seguridad, en cuanto salen: en 2026 varios fallos se atacaron en días. El resto, con regularidad y comprobando después que la web funciona.

Un primer vistazo, en un minuto, con nuestro analizador de seguridad: revisa si WordPress, tus plugins y tu tema tienen fallos de seguridad conocidos, si hay señales de hackeo y la conexión segura, con lo que se ve desde fuera. Para saberlo de verdad, hace falta revisarla por dentro.

En LN Digital protegemos las webs que mantenemos con todo lo que cuenta esta guía: en octubre, el fallo crítico de PHP lo frenamos el mismo día en todos nuestros servidores. Mira nuestro servicio de seguridad web o escríbenos.

Consultadas el 28 de octubre de 2026.

• WordPress.org: WordPress 7.0.2, WordPress 7.1.2, WordPress 7.1.3 y guía oficial para blindar WordPress. INCIBE-CERT: cadena de vulnerabilidades críticas en WordPress (wp2shell).
• PHP: noticias de php.net y versiones con soporte. Patchstack: fallo crítico de PHP, Elementor Pro y claves de UpdraftCentral.
• Fabricantes: Rank Math, Duplicator y TeamUpdraft. NIST: CVE-2026-82814 (Duplicator).
• W3Techs: uso de WordPress.
• RGPD: Reglamento (UE) 2016/679, artículos 32 y 33. AEPD: guía para la notificación de brechas de datos personales.
• NIS2: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (La Moncloa, 14-01-2025) y Comisión Europea, 8-07-2026.
• INCIBE: Protege tu empresa y Protege tu web.