Seguridad WordPress,
actualidad y casos reales.
Noticias, vulnerabilidades activas y buenas prácticas para sitios WordPress en producción.
PHP2Shell: WordPress no puede parchear esto
CVE-2026-109618 y CVE-2026-109619: RCE sin autenticación en PHP. Actualizar WordPress no te protege. Verificá hoy tu servidor.
Campaña activa de WordPress: dos XSS sin autenticación instalan administradores ocultos
Explotación activa de XSS en Ninja Forms y WPC Product Bundles: crea administradores ocultos que sobreviven a la actualización. Qué actualizar y cómo revisar tu sitio.
RCE en WordPress vía libheif: exploit chain público para HEIC
Un heap overflow en libheif permite ejecución remota de código en WordPress subiendo un HEIC malicioso. Hay exploit público. Parcheá a 1.23.3 y bloqueá las subidas.
Elementor 4.3.0–4.3.1: CSRF de alto riesgo
CVSS 8.8 en Elementor 4.3.0–4.3.1: un enlace malicioso puede crear otro administrador si un usuario con sesión iniciada hace clic. Actualizá a 4.3.2.
UpdraftPlus: actualizá YA por auth bypass a RCE
CVE-2026-10795: auth bypass sin autenticación → RCE en UpdraftPlus < 1.26.5 (Premium < 2.26.5). Ataques activos: miles bloqueados por día. Actualizá hoy.
WordPress 7.1.2: actualizá YA por path traversal crítico
CVE-2026-87902: path traversal crítico sin autenticación en WordPress Core (< 7.1.2) que puede terminar en RCE. Actualizá hoy y revisá estos IoCs.
Click2Shell: actualizá WordPress 7.1.1 ya
Click2Shell: cadena crítica en WordPress Core: un click de un admin instala un tema y ejecuta código. Actualizá a 7.1.1 hoy y revisá estos IoCs.
Backdoor en Admin Menu Editor Pro: desinstalá el plugin
El sitio del desarrollador fue comprometido y las versiones 2.35-2.36 de Admin Menu Editor Pro traen backdoor. Verificá tu sitio con estos IoCs y desinstalá el plugin hoy.
Ataques WordPress 2026: las 6 tendencias que dominan
XSS, escalación a admin sin login, file upload a RCE y supply chain: las tendencias de ataques WordPress 2026 según Patchstack y Wordfence, y qué hacer.
CheckView crítico: crean admin con un clic, actualizá
CheckView ≤2.3.1 tiene un bypass de autenticación REST (CVE-2026-18786) que permite crear un admin con un clic. Actualizá a 2.4.1 hoy.
Contest Gallery ≤32.0.1: fallo de archivos, actualizá ya
Contest Gallery ≤32.0.1 tiene un fallo de sobrescritura de archivos (CVE-2026-78088, CVSS 8.8) que puede derivar en RCE. Actualizá a la última versión (33.0.3) ya.
WooCommerce Wholesale Lead Capture: subida de archivos explotada
CVE-2026-27540: subida de archivos sin login en WooCommerce Wholesale Lead Capture, con explotación activa. Actualizá a 2.0.3.2 y revisá tu tienda.
Frontend Admin: account takeover sin login, actualizá a 3.29.13
Frontend Admin by DynamiApps ≤ 3.29.12 permite tomar cualquier cuenta del sitio, incluida la admin, sin login (CVE-2026-75816, CVSS 9.8). Actualizá a 3.29.13 hoy.
Mail Mint: PHP Object Injection crítico, actualizá a 1.31.1
Mail Mint by WPFunnels ≤ 1.31.0 permite inyección de objetos PHP sin login (CVE-2026-84753, CVSS 9.8) con RCE potencial. Si armás newsletters, actualizá a 1.31.1 hoy.
Migrar de DonWeb: paso a paso sin cortar el sitio
Migrar tu WordPress o WooCommerce fuera de DonWeb sin cortar el sitio: backup, archivos, base de datos, DNS y SSL. Guía paso a paso y errores a evitar.
WordPress hackeado: 6 pasos para limpiarlo vos mismo
Tu WordPress fue hackeado y no sabés cómo recuperarlo. Señales de infección, limpieza de webshells paso a paso y cuándo conviene contratar a un especialista.
Avada RCE crítico: actualizá a 7.16.1 (CVE-2026-18431)
Avada y Fusion Builder ≤ 7.16/3.16 tienen RCE sin autenticación (CVSS 9.8) en más de 1M de sitios. Parche 7.16.1/3.16.1 disponible. Actualizá hoy.
The Events Calendar: RCE sin autenticación (CVE-2026-78006)
RCE sin autenticación (CVSS 9.8) en The Events Calendar ≤ 6.17.4: un atacante anónimo toma el control del sitio. Parche 6.17.4.1. Actualizá ya.
WooCommerce Subscriptions: RCE sin login, actualizá a 9.1.0
WooCommerce Subscriptions < 9.1.0 permite inyección de objetos PHP (CVSS 9.8) en tiendas con HPOS, escalable a RCE sin autenticación. Actualizá a 9.1.0 hoy.
Pods: escalación de privilegios sin autenticación permite tomar el sitio (CVE-2026-19598)
Pods ≤ 3.3.9 tiene una escalación de privilegios sin autenticación (CVSS 9.8): cualquier visitante puede volverse administrador y cambiar contraseñas. Actualizá a 3.3.9.1.
All-in-One WP Migration: SQL Injection que permite tomar el control del sitio
CVE-2026-19949 en All-in-One WP Migration deja expuestos 3,25 millones de sitios a takeover vía SQL injection. Actualizá a 7.110 o superior ya.
Cuánto cuesta crear una tienda online en Argentina (2026)
Costos reales de crear una tienda online en Argentina 2026: Tiendanube, Shopify y WooCommerce, comisiones de Mercado Pago y costos ocultos. Números concretos, sin humo.
Hummingbird: RCE sin autenticación — actualizá a 3.21.2
Hummingbird ≤ 3.21.0 tiene un RCE sin autenticación (CVE-2026-83627, CVSS 9.8): inyectan PHP vía el log de debug del cache. Actualizá a 3.21.2 ya.
WooCommerce vs Tiendanube: cuál conviene en 2026
WooCommerce vs Tiendanube 2026 con números: costos reales, SEO, control y escalabilidad. Cuál te conviene según tu etapa, sin humo de agencias.
WPML: inyección SQL crítica (CVE-2026-17509)
CVE-2026-17509 en WPML Multilingual CMS: atacantes autenticados pueden extraer datos de la base. Actualizá a 4.9.6 o superior.
GiveWP: RCE sin autenticación — actualizá a 4.16.7.2
Un atacante sin cuenta puede ejecutar código en tu servidor si usás GiveWP. Actualizá a 4.16.7.2, la versión que corrige la cadena de vulnerabilidades.
Query Monitor: guía para desarrolladores WordPress
Dominá Query Monitor de punta a punta: timeline, queries, hooks, profiling, logging y workflow de debugging para sitios WordPress en producción.
Elementor Pro con falla crítica de subida de archivos: cómo proteger tu sitio ahora
CVE-2026-32475 (CVSS 9.8) permite subir archivos PHP sin autenticación en Elementor Pro. Miles de sitios comprometidos. Actualizá a la 4.2.2 ya.
Cómo usar WP-CLI en WordPress Studio (guía completa)
Usá WP-CLI dentro de WordPress Studio con el comando studio wp: 30+ comandos con ejemplos, simulaciones de terminal y workflow para no romper producción.
Vulnerabilidad crítica en Super Forms explotada activamente: actualizá ya a 6.3.314
Atacantes explotan sin autenticación una subida de archivos (CVSS 9.8, CVE-2026-14894) en Super Forms <= 6.3.313 que permite subir webshells y tomar el control total del sitio. Actualizá el plugin ahora.
Por qué deberías eliminar el usuario "admin" en tu WordPress
El usuario "admin" es el primer blanco de los ataques de fuerza bruta. Te explico por qué conviene crearlo con otro nombre, cómo hacerlo sin romper contenido y qué más blindar.