Etiqueta
17 artículos ·Volver a Blog
La pregunta vuelve a salir en los foros de desarrolladores. La respuesta sincera es que depende del tipo de proyecto, y que en 2026 hay más casos en los que no compensa que hace cinco años. Cuatro preguntas para decidirlo antes de presupuestar.
El 9 de septiembre el consejo de Automattic apartó a Matt Mullenweg. Dos días después había vuelto y los que lo apartaron se habían ido. Es un culebrón de empresa, pero la persona que lo protagoniza también controla WordPress.org, de donde se actualiza tu web.
Herramienta de código abierto que audita las imágenes de un WordPress desde fuera: duplicados por hash, imágenes rotas y dependencias de otros dominios. Sin plugin, sin base de datos y sin tocar la web.
El 17 de septiembre WordPress sacó la 7.1.1: once correcciones de seguridad. Una es XSS almacenada en wpautop(), explotable por un visitante sin cuenta si el comentario se aprueba. El martes ya no es solo de plugins.
Un comentario con 42 puntos en Wordpress lo resume así: mantener WordPress no es difícil, mantener un WordPress mal construido sí. Tiene razón. El problema es que saber cuál de los dos tienes ya es la parte difícil.
En agosto de 2025 alguien compró el porfolio de plugins "Essential Plugin" en Flippa y escondió un backdoor en una actualización con el changelog más aburrido posible. Ocho meses después, durante menos de siete horas, 400.000 webs distribuían spam SEO que solo veía Google.
Monarx destapó una campaña de malware que sobrevive a la limpieza manual: un falso plugin wp-cron, cinco backdoors repartidos por el servidor y una tarea programada que restaura todo lo borrado, cada hora. Funciona porque aprovecha justo lo que WordPress tiene por diseño: algo que se ejecuta y algo
Una semana después del CVE de ejecución remota, Rank Math tenía otro problema: abrir el botón de «Ayuda y soporte» creaba una contraseña de administrador y la enviaba a un servidor externo. Sin pedir permiso antes.
WordPress 7.1 "Mary Lou" salió el 19 de agosto. El 17 de septiembre llegó la 7.1.1, con un fallo en multisite que borraba contenido. Cinco días después, la 7.1.2: un fallo crítico, sin autenticación, que llevaba en el núcleo desde 2016.
Caché, caché de objetos, exportadores a estático y ahora un plugin que desactiva el acceso público a PHP. Toda esa industria hace lo mismo: evitar que WordPress se ejecute cuando entra un visitante.
En agosto se publicó una ejecución remota de código en Rank Math, el plugin de SEO que llevan millones de webs. Lo instalaste para que Google te encontrara y lo que hace es abrir una puerta más.
Instalar Yoast o RankMath al final del proyecto y pensar que ya tienes SEO es como pegar un marbete a una caja vacía. El SEO de verdad vive en la arquitectura de la plataforma, no en un plugin que se añade cuando todo lo demás ya está hecho
Un artículo en Hacker News con ese título resume el estado de ánimo de parte del sector: WordPress pasó de solución a pasivo. Analizamos qué acierta, qué exagera y qué debería aprender quien tiene una web.
La pregunta recorre foros y comentarios: si la IA genera tu web, ¿es más segura que WordPress? La respuesta honesta: la seguridad no está en quién escribe el código, sino en qué se ejecuta cuando te visitan.
Cuando el ecosistema lanza plugins para desactivar el acceso público a PHP, está admitiendo algo: que ejecutar PHP en cada visita es el problema, no la solución. La cura se llama estático.
Elementor hace que montar una web parezca fácil. El precio está en el HTML que genera: decenas de capas, CSS y JS inflados, y un peso que el visitante paga en cada carga.
WP Rocket, LiteSpeed, W3 Total Cache: los instalas, activas, y la web sigue tardando dos segundos en responder. La caché no arregla la lentitud: la disimula hasta que deja de poder.
