# Agosto dejó WordPress sangrando por plugins y el panel de actualizaciones mintió
**Categoría:** CMS
**Estilo:** crítico
—
A finales de agosto, mientras WordPress 7.1 celebraba su lanzamiento en WordCamp US, otra oleada de fallos críticos en plugins dejó cientos de miles de sitios expuestos. Y lo peor no es solo el CVSS 9.8: es que en varios casos el propio sistema de actualizaciones de WordPress te decía que ya estabas parcheado cuando no era verdad.
Yo llevo años manteniendo webs de clientes con WordPress y cada vez tengo la misma sensación cuando salen estas noticias: el ecosistema de plugins es una ruleta rusa con etiqueta de «seguridad incluida». Agosto de 2026 no ha sido una excepción. Ha sido un recordatorio incómodo de que instalar un plugin de confianza no te protege de nada si el desarrollador mete la pata en el flujo de autenticación o en cómo guarda datos sensibles.
Empecemos por TranslatePress, porque resume a la perfección el tipo de error que me saca de quicio. Según TechTimes, el plugin —instalado en unas 400.000 webs— permitía a cualquier visitante sin autenticación obtener tokens de restablecimiento de contraseña de administradores. CVE-2026-19632, puntuación 9.8. Cualquiera que conociera el usuario o email de un admin podía resetearle la clave y entrar en /wp-admin como si fuera su casa.
El detalle que más me preocupa: no es la primera vez que pasa algo así en plugins relacionados con email. Post SMTP ya había tenido problemas similares dos veces en tres años. TranslatePress escribía los enlaces de reset en una tabla de diccionario accesible públicamente cuando el admin tenía configurado un idioma secundario. Es decir, cuanto más «multilingüe» y profesional tenías montada la web, más expuesta estaba. Ironía pura.
Luego está el caso miniOrange SAML, que para mí es el más revelador de las carencias del mercado. Security Affairs documenta dos bypasses de autenticación independientes (CVE-2026-61979 y CVE-2026-15981) que permitían a un atacante no autenticado falsificar una respuesta SAML y entrar como cualquier usuario, incluidos administradores. Activo en la calle, confirmado.
Pero aquí viene lo que casi nadie explica bien: miniOrange tiene siete ediciones de pago con numeración de versiones distinta a la gratuita. El parche se publicó bajo la versión 5.4.5 en el slug gratuito. Las instalaciones de pago —13.x, 20.x, 26.x, 32.x, 35.x— mostraban un número de versión superior y WordPress las marcaba como «ya actualizadas». El dashboard te mentía. Tuviste que subir el parche a mano, comparar tu edición contra una tabla que ni siquiera estaba en ninguna base de datos pública hasta que Patchstack la publicó.
Piénsalo un momento: un plugin de SSO, pensado precisamente para reforzar la seguridad del acceso, con un fallo que te deja la puerta abierta, y un sistema de actualizaciones que no detecta que estás vulnerable. Si eso no te hace replantear la confianza ciega en plugins premium, no se que más necesitas.
Y agosto no se quedó ahí. Affiliate Pro (programa de afiliados para WooCommerce) tenía escalada de privilegios sin autenticación hasta la versión 8.9.1. WP Project Manager sufrió inyección de objetos PHP sin login. SoClever Social Login permitía obtener sesión de admin sin credenciales ni nonce. Todos CVSS 9.8 o equivalentes. Todos plugins que muchas tiendas online y agencias tienen instalados porque «hacen falta para el negocio».
¿Y los plugins de seguridad? Wordfence fue quien disclosure el fallo de TranslatePress, y Patchstack ha estado detrás de varios de estos avisos. Bien. Pero instalar Wordfence, Sucuri o lo que sea no te salva de un plugin de traducción que filtra tokens de admin a una tabla pública. El firewall puede bloquear el exploit después de que alguien lo pruebe, pero no arregla el código roto que tienes dentro. La protección reactiva no sustituye la higiene de plugins.
Lo que me frustra es el discurso oficial del ecosistema: «mantén todo actualizado y estarás seguro». En miniOrange, mantener todo actualizado te daba falsa tranquilidad. En TranslatePress, el parche existía desde el 13 de agosto pero Wordfence no lo publicó hasta el 25. Doce días en los que alguien con conocimientos básicos podía tumbar tu web. ¿Cuántos clientes miran el panel de plugins una vez a la semana? ¿Cuántos delegan en un mantenimiento que solo hace clic en «actualizar todo» sin leer advisories?
Tampoco ayuda que WordPress 7.1 haya llegado con la Abilities API pensada para agentes de IA y un editor en iframe obligatorio, mientras el core sigue sin resolver de raíz cómo auditar plugins de terceros antes de que acumulen 400.000 instalaciones. El Field Guide de 7.1 habla de modernización del editor y APIs para máquinas. Perfecto. Pero la máquina que más me preocupa es la que entra por un SAML falsificado o lee tu token de reset desde una tabla de traducciones.
En mi experiencia, las pymes y las agencias pequeñas no tienen un proceso de respuesta a CVEs. Tienen un contrato de mantenimiento que incluye «actualizaciones mensuales». Eso no sirve cuando el exploit está activo y tu plugin de pago no aparece en el repositorio. Lo que haría yo hoy, sin dramatizar pero sin dormirme: revisar si tienes TranslatePress, miniOrange SAML, Affiliate Pro, WP Project Manager o SoClever Social Login; comprobar versiones contra los advisories concretos, no contra lo que dice el panel; rotar contraseñas de admin si alguno de esos plugins estuvo activo sin parche; y plantear seriamente reducir la superficie de plugins en producción.
No voy a decirte que dejes WordPress. Lo uso y lo seguiré recomendando para muchos casos. Pero sí que dejes de tratar los plugins como chicles: instalados porque «todo el mundo los usa» y olvidados hasta el próximo redesign. Cada plugin es código PHP ejecutándose con permisos de tu servidor. Y en agosto, varios de los más instalados demostraron que ese código puede regalarte el admin a un desconocido.
Si mañana descubres que uno de tus plugins críticos tiene una edición de pago con numeración distinta y el panel de WordPress no te avisa del parche, ¿tienes ya un procedimiento para parchear a mano en menos de una hora o seguirás confiando en que el tick verde de «actualizado» signifique algo?