WordPress no se rompe solo: el riesgo está en los plugins y en el PHP vencido
Casi nunca entran por WordPress. Entran por un plugin que nadie actualizó, en un servidor con una versión de PHP que ya no recibe parches. Saberlo cambia qué hay que cuidar.
Dónde aparecen los agujeros
En 2025 se publicaron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress, un 42% más que el año anterior, según el informe anual de Patchstack. El 91% estaba en plugins, el 9% en temas y apenas seis en el núcleo de WordPress, todas de riesgo bajo.
La conclusión no es que WordPress sea inseguro, sino que cada plugin suma código de otra persona, con su propio ritmo de actualizaciones. Un sitio con treinta plugins depende de treinta equipos distintos.
Y no siempre hay arreglo a tiempo: según el mismo informe, el 46% de esas vulnerabilidades no tenía parche cuando se hizo pública.
11.334vulnerabilidades nuevas en WordPress en 2025+42% que en 2024
- Plugins 91%
- Temas 9%
- Núcleo 6 casos
El PHP que nadie mira
WordPress corre sobre PHP, y PHP también vence. Cada versión recibe dos años de mejoras y dos más de parches de seguridad; después, nada. PHP 8.1 dejó de recibir parches el 31 de diciembre de 2025, y a PHP 8.2 le pasa lo mismo el 31 de diciembre de 2026.
A comienzos de 2026, según los datos del propio equipo de WordPress, más del 20% de los sitios seguía en PHP 8.0 u 8.1, ya vencidas, y otro 27% en 8.2. Una versión vencida no se rompe de un día para el otro: deja de recibir arreglos, y cada falla nueva que se descubra queda abierta.
Casi nunca lo decide quien tiene el sitio: lo define el hosting, y muchos planes no lo actualizan si nadie lo pide.
- PHP 8.1
- PHP 8.2
- PHP 8.3
- PHP 8.4
- PHP 8.5
- Mejoras y parches
- Solo parches de seguridad
Qué revisar si tenés WordPress
La versión de PHP: suele estar en el panel del hosting. Si es 8.2 o anterior, pedí 8.3 o más nueva, y probá antes el sitio en una copia. Si algún plugin no la soporta, eso también es un aviso.
Los plugins: borrá los que no usás, no alcanza con desactivarlos. Desconfiá de los que hace más de un año que no se actualizan, y activá las actualizaciones automáticas en los que quedan.
El resto: copias de seguridad guardadas fuera del servidor, un usuario por persona y doble factor para entrar al panel.
Cuándo conviene otra cosa
WordPress sigue siendo una buena herramienta cuando hace falta lo que trae: un editor que mucha gente conoce, cientos de integraciones, alguien que publica todos los días. Lo que suele salir caro es usarlo para un sitio de cinco páginas que cambia dos veces por año, con quince plugins para hacer lo que no trae.
En Hako trabajamos en Next.js, sin WordPress: cada sitio lleva solo el código que necesita, y lo que no tiene por qué cambiar en cada visita se publica como páginas ya armadas. Eso no lo hace invulnerable, porque también tiene dependencias que hay que mantener al día. Pero son pocas, las elegimos nosotros y sabemos qué hace cada una.