Monarx destapó una campaña de malware que sobrevive a la limpieza manual: un falso plugin wp-cron, cinco backdoors repartidos por el servidor y una tarea programada que restaura todo lo borrado, cada hora. Funciona porque aprovecha justo lo que WordPress tiene por diseño: algo que se ejecuta y algo
Una semana después del CVE de ejecución remota, Rank Math tenía otro problema: abrir el botón de «Ayuda y soporte» creaba una contraseña de administrador y la enviaba a un servidor externo. Sin pedir permiso antes.
WordPress 7.1 "Mary Lou" salió el 19 de agosto. El 17 de septiembre llegó la 7.1.1, con un fallo en multisite que borraba contenido. Cinco días después, la 7.1.2: un fallo crítico, sin autenticación, que llevaba en el núcleo desde 2016.
Caché, caché de objetos, exportadores a estático y ahora un plugin que desactiva el acceso público a PHP. Toda esa industria hace lo mismo: evitar que WordPress se ejecute cuando entra un visitante.
2.000 euros de desarrollo y 30 al mes de hosting suena bien. La cuenta completa incluye licencias que se renuevan cada año, plugins pro que no puedes dejar de pagar y entre 30 y 60 horas de mantenimiento. Esto es lo que cuesta de verdad, a tres años.
En agosto se publicó una ejecución remota de código en Rank Math, el plugin de SEO que llevan millones de webs. Lo instalaste para que Google te encontrara y lo que hace es abrir una puerta más.
