Ya están las cifras de seguridad WordPress de 2026. Esto es lo que significan para ti.

Cada año, la firma de seguridad Patchstack publica un informe sobre el estado de la seguridad en WordPress. La edición de 2026, elaborada junto a la empresa de inteligencia de malware Monarx, es la foto más detallada hasta ahora de a qué se enfrenta quien tiene una web.

Las cifras impresionan. Pero una cifra sola no ayuda a decidir nada. Vamos con lo que significa cada una si tienes tu negocio en WordPress, y qué hacer con ella.

11.334 vulnerabilidades nuevas en un año

En 2025, Patchstack identificó 11.334 vulnerabilidades nuevas en el ecosistema WordPress, un salto del 42% frente a las 7.966 del año anterior. Las altamente explotables crecieron un 113% interanual.

Qué significa para ti: el problema no se está calmando, se está acelerando. Esto no va de un exploit famoso del que puedas estar pendiente: es un goteo constante de fallos nuevos, más de 30 al día de media. Estar seguro no es una tarea puntual, es trabajo operativo continuo.

El 91% de las vulnerabilidades está en plugins

De todas esas vulnerabilidades, el 91% apareció en plugins, el 9% en temas y solo 2 en el núcleo de WordPress.

Qué significa para ti: el núcleo de WordPress es notablemente seguro, y el proceso de revisión del equipo se nota en los números. Tu riesgo vive casi por completo en los plugins y temas que añades. Una instalación media lleva entre 20 y 30 plugins, y cada uno es código de terceros con acceso profundo a tu sitio. Cuantos más tengas, mayor es la superficie de ataque. La mejora de seguridad más fácil que puede hacer casi cualquier web es desinstalar los plugins que instaló en su día y ya no usa.

Una mediana de 5 horas hasta el primer ataque

Cuando Patchstack midió el tiempo entre que una vulnerabilidad se hace pública y llega el primer ataque real que la explota, la mediana ponderada fue de 5 horas. Alrededor del 45% se explotó dentro de las 24 horas y el 70% dentro de los 7 días.

Qué significa para ti: el consejo de toda la vida —«entra una vez por semana y pasa las actualizaciones»— ya no te protege. Para cuando te sientas a hacer tu mantenimiento semanal, una vulnerabilidad publicada el lunes por la mañana lleva explotándose desde el lunes a mediodía. Una protección real exige o bien parcheo casi en tiempo real, o bien un firewall capaz de bloquear los intentos de explotación antes de que te dé tiempo a actualizar. El mantenimiento manual semanal es parchear cuando la ola ya pasó.

El 46% no tenía parche al publicarse

Probablemente el dato más importante: el 46% de las vulnerabilidades publicadas en 2025 no tenía corrección disponible del desarrollador cuando se hicieron públicas.

Qué significa para ti: este es el dato que rompe el consejo de «ten todo actualizado». Casi la mitad de las veces, cuando una vulnerabilidad se hace pública, no hay nada que actualizar: el desarrollador todavía no ha sacado el parche. Durante esa ventana, tu única protección es una capa de seguridad que no dependa del proveedor: un firewall de aplicación, vigilancia activa y parcheo virtual capaz de bloquear el exploit incluso antes de que exista una corrección oficial.

Los plugins de pago no son zona segura

Se suele dar por hecho que un plugin de pago es más seguro que uno gratuito. Los datos de Patchstack dicen otra cosa: de las vulnerabilidades encontradas en componentes premium y freemium, el 76% era explotable en ataques reales.

Qué significa para ti: pagar por un plugin no compra seguridad. De hecho, los componentes de pago reciben menos escrutinio independiente, porque su código es más difícil de analizar para los investigadores. «Es un plugin de pago» no es una estrategia de seguridad.

En resumen

Juntando las cifras, la conclusión es bastante clara. La seguridad WordPress en 2026 es:

• Constante — más de 30 vulnerabilidades nuevas al día, no episodios ocasionales
• Rápida — explotación en horas, no en semanas
• Más allá de actualizar — casi la mitad de los fallos no tiene parche cuando se publican
• Concentrada en los añadidos — plugins y temas, gratuitos y de pago por igual

Por eso el enfoque de «lo monto y me olvido» falla, y por eso el mantenimiento manual mensual o semanal se queda cada vez más corto para una web de la que depende un negocio. La distancia entre que algo se publica y empieza a explotarse se mide ya en horas, y la defensa tiene que funcionar en esa misma escala de tiempo.

Si quieres ver el lado práctico de esto, está en por qué «escanear y borrar» no elimina el malware actual.

Cómo cubrimos ese hueco en WPSecureGuard

WPSecureGuard está montado alrededor de esta realidad. Con más de 25 años de experiencia en seguridad WordPress y PHP, ofrecemos vigilancia continua, firewall gestionado, parcheo rápido y, lo más importante, protección que no se queda esperando a que el desarrollador publique una corrección.

Si tu negocio depende de su WordPress, la ventana de 5 horas no es algo que el mantenimiento manual pueda cubrir. Mira cómo funciona la protección continua →

Fuente: Patchstack, State of WordPress Security in 2026.