33 horas sin Mullenweg: quién manda en WordPress y por qué afecta a tu web

El 9 de septiembre de 2026 el consejo de administración de Automattic, la empresa detrás de WordPress.com, WooCommerce y Jetpack, puso a su fundador y CEO, Matt Mullenweg, en una excedencia pagada. Nombró consejero delegado interino al director financiero, Mark Davies.

Mullenweg no se fue. Según contaron 404 Media e Inc., escribió en el Slack de la empresa que Davies y tres consejeros habían conspirado contra él, dijo que le pasaron la resolución 50 minutos antes de la reunión y retiró los permisos de administrador al resto. El 11 de septiembre anunció a la plantilla que volvía. El 12, Automattic lo confirmó: presidente y CEO, «con el pleno apoyo del consejo».

Poco después, dos de los consejeros dimitieron, la tercera salió apartada por Mullenweg, y Davies y el jefe de los servicios jurídicos dejaron la empresa. Unas 33 horas de excedencia, y al final se fueron los que la habían decidido.

Sería verdad si Mullenweg solo dirigiera Automattic. Pero también controla, a título personal, WordPress.org: el directorio de plugins y temas y el servidor del que sale cada actualización que tu panel te ofrece instalar con un clic.

Ya vimos lo que eso significa en 2024, en plena guerra con WP Engine: WordPress.org bloqueó el acceso de los clientes de ese hosting a las actualizaciones y acabó quedándose el plugin Advanced Custom Fields, rebautizado como Secure Custom Fields. Hubo miles de webs que no habían hecho nada y se encontraron en medio.

El episodio de septiembre no cambió nada de eso, y ese es el punto. Un consejo de administración intentó, por los motivos que fueran (no se han hecho públicos), poner un contrapeso a una sola persona. Duró dos días. La infraestructura de la que dependen cientos de millones de webs sigue dependiendo de las decisiones, y del humor, de una sola persona.

WordPress es código abierto y eso no está en duda: puedes descargarlo, modificarlo y alojarlo donde quieras. Lo que no es abierto es el grifo: el canal por el que llegan los parches de seguridad, el directorio donde se publican los plugins y la revisión con IA que ahora pasa cada actualización antes de llegar a tu web.

Todo eso funciona bien la mayor parte del tiempo. Pero cuando tu web necesita actualizar cada semana para no quedarse expuesta, tu seguridad depende de que ese grifo siga abierto para ti. Y la forma de decidir quién lo controla ya ha demostrado lo poco que aguanta un contrapeso.

No hace falta salir corriendo. Sí conviene saber de qué dependes:

• ¿Tu web necesita actualizarse para seguir siendo segura? Si la respuesta es sí, dependes de un tercero que te mande esas actualizaciones, y conviene saber quién es.
• ¿Tu contenido está en un formato que puedas llevarte? Una base de datos de WordPress se exporta, pero con los bloques, los shortcodes y los campos de cada plugin mezclados.
• ¿Tienes una copia de todo fuera de tu hosting? Base de datos y ficheros, no solo un plugin de copias que vive dentro de la misma web.

En Forja el contenido se guarda en ficheros dentro de un repositorio git que es del cliente, y la web que ve el visitante es HTML estático. No hay un directorio central del que dependa que tu web siga siendo segura mañana. Si Forja desapareciera, el contenido y la web seguirían siendo tuyos y seguirían funcionando.