Una sola petición al formulario de login podía dar control total del servidor. WordPress sacó un parche de emergencia el 6 de agosto, pero medio internet aún no ha actualizado. Esto es lo que pasó y por qué importa aunque no tengas un WordP
El 6 de agosto de 2026, WordPress publicó una versión de emergencia: la 7.0.3. No era una actualización menor con mejoras de rendimiento. Era un parche para una vulnerabilidad que llevaba ahí desde las primeras versiones del software y que nadie había encontrado hasta ahora.
Se llama XSS2Shell (CVE-2026-64638) y permitía, sin usuario ni contraseña, tomar el control completo del servidor donde estaba alojada tu web.
La cadena de ataque funciona así:
/wp-login.php) con un nombre de usuario que contiene código malicioso.No hace falta que el atacante tenga una cuenta. No hace falta que el administrador haga nada raro — basta con que tenga la sesión abierta en otra pestaña. Y el resultado es control total: el atacante puede robar datos, cambiar la web, redirigir visitantes o usar el servidor para enviar spam.
La vulnerabilidad afecta a todas las versiones de WordPress bajo mantenimiento anterior a la 7.0.3. Estimación de sitios afectados: más de 500 millones.
Agosto de 2026 ha sido un mes récord para los problemas de seguridad de WordPress:
En abril, 25 plugins fueron eliminados del repositorio oficial en un solo día por un ataque a la cadena de suministro. Los datos de 2025 dicen que el 78% de los sitios WordPress hackeados tenían al menos un plugin desactualizado, y que un sitio de producción lleva de media más de 30 plugins instalados.
Si tienes un WordPress, lo primero es actualizar a la 7.0.4 (o la última disponible en tu rama). Si usas Avada, actualizar el tema y Fusion Builder a las versiones 7.16.1 y 3.16.1 respectivamente. Si no sabes qué versión tienes, pregunta a quien mantiene tu web — y si no te lo saben decir, ese es el primer problema.
Pero hay una pregunta más profunda: ¿por qué un formulario de login puede ejecutar código en el servidor? Porque WordPress es software que se ejecuta en el servidor: PHP, base de datos, plugins que corren en el mismo proceso. Una vulnerabilidad en cualquier capa puede escalar hasta el control total. No es un fallo de diseño concreto; es el modelo.
Forja funciona al revés. La web pública no es software que se ejecuta: es HTML estático, ficheros que el servidor entrega sin procesar. No hay login en el servidor, no hay PHP que ejecutar, no hay plugins que comprometer. El panel de gestión es una aplicación separada que no está expuesta al público. Una vulnerabilidad como XSS2Shell no tiene dónde materializarse.
Si tienes un WordPress y no sabes en qué versión está, escríbenos. Te lo decimos en cinco minutos y sin compromiso — y si merece la pena migrar, te lo decimos también.