Si tu empresa tiene una web hecha con WordPress, este artículo te interesa. En julio de 2026 se hizo pública wp2shell, una de las vulnerabilidades más graves que ha tenido WordPress en años. No afecta a un plugin concreto ni a un tema mal programado: está en el propio núcleo de WordPress. Y eso significa que una instalación «de serie», sin nada raro, puede ser tomada por un atacante sin necesidad de usuario ni contraseña.
¿Qué es wp2shell?
wp2shell es el nombre que se le ha dado a una cadena de dos vulnerabilidades, registradas como CVE-2026-63030 y CVE-2026-60137. Combinadas, permiten a un atacante ejecutar código en tu servidor sin estar autenticado. Dicho de forma sencilla: cualquiera, desde cualquier parte del mundo, puede acabar teniendo el control total de tu web.
Sin entrar en tecnicismos, el ataque funciona así:
- El atacante envía peticiones manipuladas a la API interna de WordPress (la que usa el editor para funcionar).
- Un fallo en cómo WordPress procesa esas peticiones le permite colar una inyección SQL en la base de datos.
- Con ello consigue que WordPress, durante un instante, actúe como si él fuera administrador, y aprovecha ese momento para crearse una cuenta de administrador.
- Con esa cuenta instala plugins maliciosos y, a partir de ahí, puede hacer lo que quiera en el servidor.
¿Qué versiones están afectadas?
- WordPress 6.9.x anterior a la 6.9.5 → vulnerable a la cadena completa.
- WordPress 7.0.x anterior a la 7.0.2 → vulnerable a la cadena completa.
- WordPress 6.8.x anterior a la 6.8.6 → afectado por una de las dos vulnerabilidades (CVE-2026-60137).
Las versiones corregidas son la 6.8.6, 6.9.5 y 7.0.2, y cualquier versión posterior.
¿Por qué es tan peligrosa para una PYME?
- Se explota de forma masiva y automática. Los primeros intentos de ataque se detectaron el 17 de julio de 2026, y el 21 de julio la agencia de ciberseguridad estadounidense CISA la incluyó en su catálogo de vulnerabilidades explotadas activamente. Los atacantes no buscan a «empresas importantes»: escanean Internet en busca de cualquier WordPress sin actualizar.
- No hace falta que tengas plugins raros. Basta con tener el núcleo sin actualizar.
- El atacante se queda dentro. Lo habitual es que, tras entrar, deje puertas traseras escondidas para volver aunque cambies la contraseña de administrador.
- Roba secretos. Estas campañas intentan leer el archivo de configuración de WordPress, donde están la contraseña de la base de datos y las claves de seguridad.
- Daño a la reputación. Tu web puede acabar mostrando mensajes de los atacantes, enviando spam, alojando páginas de phishing o atacando a otros. Y tu proveedor de hosting podría suspender tu servicio.
Señales de que tu web podría estar comprometida
Aunque ya hayas actualizado, si tu web estuvo varias semanas con una versión vulnerable conviene revisar. Estas son las señales más habituales de un WordPress comprometido:
- Usuarios administradores que no reconoces, a menudo con nombres aleatorios o correos inventados.
- Plugins que no instalaste, sin descripción ni autor, o con nombres que imitan a plugins conocidos.
- Archivos PHP donde no debería haberlos, como la carpeta de imágenes (
wp-content/uploads) o la carpetamu-plugins. - Entradas o páginas publicadas que no escribiste.
- Avisos de tu proveedor de hosting sobre archivos maliciosos.
Qué hacer ahora: checklist para PYMES
- Actualiza WordPress ya a la última versión disponible. Es la única forma de cerrar la vulnerabilidad.
- Revisa los usuarios administradores y elimina los que no reconozcas.
- Revisa los plugins y borra los que no uses. Cada plugin inactivo es código que puede tener fallos.
- Si encuentras indicios de intrusión, actualizar no basta: hay que limpiar o, mejor aún, restaurar desde una copia de seguridad anterior al ataque.
- Cambia todas las credenciales: administradores de WordPress, hosting, acceso SFTP, base de datos y las claves de seguridad de WordPress.
- Activa la verificación en dos pasos en el panel de tu hosting y en WordPress.
- Guarda copias de seguridad fuera del servidor. Una copia guardada en el mismo servidor que ha sido atacado no es fiable.
- Activa las actualizaciones automáticas de seguridad, o encarga a alguien que revise tu web periódicamente.
La lección de fondo
Muchas PYMES montan su web, la dejan funcionando y se olvidan de ella. wp2shell demuestra que eso ya no es una opción: una web sin mantenimiento es una puerta abierta a tu negocio, a tu reputación y, a veces, a los datos de tus clientes. Mantenerla actualizada cuesta minutos; recuperarse de un ataque cuesta días.
Si tienes dudas sobre si tu web está afectada, revisa hoy mismo la versión de WordPress que tienes instalada. Es el primer paso, y el más importante.
