WordPress Ahora Es un Riesgo para los Dueños de Negocio: php2shell, Sitios Imposibles de Parchar y el Costo Real de WordPress

Por Jason Kelly - CEO

Durante casi veinte años, WordPress fue la respuesta automática a la pregunta "¿Cómo consigo un sitio web?" Era gratis, estaba en todas partes y todos los diseñadores web de la ciudad sabían instalarlo. Entiendo por qué tantos dueños de negocio todavía lo usan. Pero voy a ser muy directo en este artículo: en 2026, WordPress ya no es una opción segura. Para la mayoría de los pequeños negocios, se ha convertido en un riesgo.

No es cuestión de gustos. Las noticias de seguridad de los últimos meses lo han hecho imposible de ignorar, y el costo real de mantener vivo un sitio de WordPress es mucho más alto de lo que la mayoría imagina.

El Problema de php2shell

En octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) emitió una alerta pidiendo parchar de inmediato dos vulnerabilidades críticas en PHP, el lenguaje de programación sobre el que está construido WordPress. Las fallas, apodadas "php2shell", permiten que un atacante sin ninguna contraseña ejecute sus propios comandos en el servidor. CISA indica que afectan a todas las instalaciones de PHP que atienden solicitudes web, y ambas fueron agregadas a su catálogo de vulnerabilidades explotadas, lo que significa que los criminales ya las están usando contra objetivos reales. CISA

Esta es la parte que todo dueño de negocio debe leer dos veces. La guía de CISA dice que las organizaciones que no puedan actualizar de inmediato, o que todavía usen PHP 8.1 o anterior, deben desconectar esos sistemas hasta poder parcharlos o actualizarlos. En palabras simples: si su sitio funciona con una versión vieja de PHP, el consejo del gobierno federal es apagarlo.

Una Gran Parte de los Sitios de WordPress No Se Puede Parchar

Quizás piense: "Mi diseñador solo tiene que darle clic a actualizar." El problema es que una gran parte de los sitios de WordPress funcionan con versiones de PHP que ya no reciben arreglos de seguridad. No hay parche en el cual hacer clic.

Una investigación de Censys, que examinó más de 316,500 sitios de WordPress, encontró que solo alrededor del 30% usa una versión actual de PHP. La versión más común fue PHP 7.4, que dejó de recibir soporte en noviembre de 2022. Solo el 31% de esos sitios usaba una versión mantenida del núcleo de WordPress. Cyberpress

Piense en lo que eso significa. Mucho más de un tercio de los sitios de WordPress están sobre una base que no se arregla con una actualización. Ponerlos seguros requiere actualizar PHP, lo que con frecuencia rompe temas y plugins viejos, que luego hay que reparar, reemplazar o reconstruir. Eso no es mantenimiento. Es una remodelación, y usted la paga.

Y empeora. Más de la mitad de los sitios de WordPress usan PHP 8.2 o anterior, que pierde soporte de seguridad el 31 de diciembre de 2026. WP Developer

El Núcleo de WordPress Fue Explotado en 2026

Durante años, la defensa de WordPress fue: "El núcleo es seguro, solo son los plugins." Ese argumento se derrumbó este año.

En julio de 2026, dos vulnerabilidades encadenadas en el núcleo de WordPress, conocidas como "wp2shell", dieron a atacantes sin autenticación control total del servidor en sitios con las versiones 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1. Su gravedad fue calificada con 9.8 de 10 y la explotación se describió como activa y generalizada. Bitdefender

Luego, en noviembre de 2026, CISA agregó otra falla del núcleo de WordPress a su lista de vulnerabilidades explotadas. Esta es casi difícil de creer: los atacantes pueden tomar el control de un sitio durante el propio proceso de actualización, porque WordPress descomprime la nueva versión en una carpeta predecible a la que el público puede acceder. El simple hecho de actualizar abrió la puerta. SC Media

Cuando la actualización es el ataque, ya no tiene una tecnología en la que pueda confiar.

El Castillo de Naipes de los Plugins

La mayoría de los sitios de negocios en WordPress usan entre veinte y cuarenta plugins. Un plugin de formularios. Un constructor de páginas. Un plugin de SEO. Uno de caché. Un plugin de seguridad para protegerlo de los otros plugins. Cada uno escrito por un desarrollador distinto, con su propio calendario y su propio nivel de cuidado.

Patchstack contó 11,334 nuevas vulnerabilidades en el ecosistema de WordPress en 2025, un aumento del 42% sobre el año anterior, y el 91% estaba en plugins. Más alarmante aún, el 46% no tenía arreglo del desarrollador cuando se hizo público. Patchstack El tiempo promedio hasta la explotación masiva fue de unas cinco horas. Colorlib

Cinco horas. Su diseñador web no está vigilando su sitio a las 2:00 de la mañana. Los bots sí.

El Costo Real de WordPress

Cuando alguien le dice que WordPress es gratis, está describiendo la descarga, no lo que cuesta ser dueño. Esto es lo que realmente cuesta tener un sitio de WordPress.

Licencias de plugins y temas. Formularios premium, constructores de páginas, respaldos, herramientas de SEO y firewalls casi siempre son suscripciones anuales. Súmelas y muchos pequeños negocios pagan cientos o incluso miles de dólares al año solo para conservar funciones que ya tienen.

Actualizaciones del tema. Los temas se actualizan, y cuando eso pasa, los cambios personalizados pueden borrarse o el diseño puede romperse. Si su diseñador editó el tema directamente, cada actualización es una apuesta.

Actualizaciones del núcleo. El núcleo de WordPress se actualiza varias veces al año. Cada actualización puede chocar con un plugin, un tema o la versión de PHP de su servidor. Y como acabamos de ver, hasta el proceso de actualización ha sido atacado.

La ruleta de las actualizaciones. Darle clic a actualizar y esperar que el sitio siga funcionando. Cuando no funciona, aparece la famosa pantalla en blanco, un formulario de contacto roto o un proceso de pago que deja de funcionar en silencio, y normalmente se entera por un cliente.

Contratos de mantenimiento. Muchos dueños pagan una cuota mensual para que alguien presione los botones de actualizar y restaure un respaldo cuando algo se rompe. Está pagando para cuidar una tecnología vieja.

Limpieza de malware. Cuando un sitio se infecta, la limpieza puede costar de cientos a miles de dólares. La investigación más reciente de Patchstack con Monarx encontró que el malware es cada vez más difícil de encontrar y aún más difícil de eliminar. Patchstack

El daño que no se puede facturar. Google puede marcar un sitio hackeado como peligroso. Los navegadores muestran pantallas de advertencia. Las cuentas de publicidad se suspenden. Su dominio de correo termina en listas negras. Los clientes que ven una página de spam donde antes estaba su negocio no regresan. Ese es el dolor de cabeza, y es la parte más cara de todas.

Por Qué un Sitio Full Stack Es la Mejor Opción

Un sitio web moderno full stack está construido de forma distinta desde la base. No hay un motor PHP público esperando ejecutar lo que un atacante suba. No hay una pila de veinte a cuarenta plugins escritos por desconocidos. No hay una página de inicio de sesión en la misma dirección en millones de sitios para que los bots la ataquen todo el día.

Las páginas se preparan con anticipación y se sirven desde un hospedaje rápido y global. Las partes que hacen trabajo real, como un formulario de contacto o una solicitud de cita, funcionan como funciones pequeñas y aisladas, no como un programa gigante con acceso a todo. Eso significa:

• Ninguna actualización de plugins que vigilar.
• Ninguna actualización de tema que rompa su diseño.
• Ninguna actualización del núcleo que pueda ser secuestrada.
• Carga más rápida, algo que Google premia y los clientes notan.
• Código limpio que su agencia realmente controla.

Ya escribí antes sobre por qué los sitios tradicionales de WordPress se están volviendo obsoletos. Las noticias de seguridad de este año lo han demostrado más rápido de lo que esperaba.

¿Por Qué Esperar Meses por una Tecnología Obsoleta?

Esta es la parte que sinceramente me frustra. A los dueños de negocio todavía les dicen que esperen cuatro, seis y hasta ocho semanas para que un diseñador les entregue un sitio de WordPress. Pagan miles de dólares, esperan dos meses y reciben una tecnología que necesita actualizaciones desde el primer día, depende de plugins que quizás ya tienen vulnerabilidades abiertas y está sobre una base de PHP sobre la que el gobierno federal está advirtiendo.

¿Por qué esperar uno o dos meses por un producto caro y obsoleto?

En Phoenix Custom Websites puede tener un sitio web funcionando en menos de 60 segundos. A partir de ahí, nuestro equipo se encarga de los toques finales en 24 horas, para que tenga un sitio profesional, moderno y full stack sin esperas, sin plugins y sin dolores de cabeza.

Reflexión Final

WordPress tuvo una gran etapa. Ayudó a millones de negocios a estar en línea. Pero la tecnología avanza, y los negocios que ganan son los que avanzan con ella. En 2026, tener el sitio de su negocio en WordPress significa aceptar un flujo constante de actualizaciones, licencias, facturas de mantenimiento y riesgos de seguridad que simplemente ya no tienen por qué existir.

Si hoy tiene un sitio en WordPress y quiere saber en qué situación está, llámeme directamente al (602) 641-8210 o escriba a jason@phoenixazadagency.com. Revisaremos su sitio con honestidad y le diremos qué se necesita para pasarlo a algo más rápido, más seguro y hecho para la web de hoy.

Atentamente, Jason

Investigación y Referencias

1. CISA. "Critical Vulnerabilities in PHP Require Immediate Patching." Octubre de 2026. https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
2. Cyberpress, sobre la investigación de Censys. "WordPress Sites Running EOL PHP Face Defacement and Plugin Exploit Risks." Julio de 2026. https://cyberpress.org/wordpress-sites-running-eol-php/
3. Bitdefender. "Technical Advisory: wp2shell, Unauthenticated Remote Code Execution and Full Site Takeover in WordPress Core." Julio de 2026. https://www.bitdefender.com/en-us/blog/businessinsights/technical-advisory-wp2shell-unauthenticated-remote-code-execution-full-site-takeover-wordpress-core
4. SC Media. "WordPress Core bug added to CISA's exploited vulnerabilities list." Noviembre de 2026. https://www.scworld.com/news/wordpress-core-bug-added-to-cisas-exploited-vulnerabilities-list
5. Patchstack. "State of WordPress Security in 2026." Febrero de 2026. https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
6. WP Developer. "WordPress Security Statistics 2026." Octubre de 2026. https://wpdeveloper.ca/blog/wordpress-security-statistics