Si abril 2026 va a recordarse por algo en el mundo WordPress, no va a ser por el número de vulnerabilidades, que también. Va a ser porque dos ataques de cadena de suministro demostraron que actualizar a ciegas ya no es seguro: el canal oficial de updates dejó de ser un sitio en el que confiar sin mirar.
Lo que ha pasado este abril en cifras
Sumando los informes semanales de Patchstack publicados durante el mes, en abril se hicieron públicas alrededor de 469 vulnerabilidades nuevas en el ecosistema WordPress, repartidas entre 415 plugins y 54 temas. La cifra encaja con el ritmo que llevamos en 2026: una media de unas 250 vulnerabilidades semanales en plugins y temas, según el último informe anual de Patchstack.
De ese total, la gran mayoría llegó al mes con parche disponible, pero unas 49 quedaron sin solución oficial al cierre de cada semana. WordPress core, por su parte, recibió la versión 6.9.4, una release de seguridad con 10 issues corregidos y actualización recomendada de forma inmediata.
Vulnerabilidades destacadas del mes
- EssentialPlugin: 31 plugins con backdoor durmiente. Un atacante compró el portfolio de EssentialPlugin en Flippa en 2025, plantó una puerta trasera basada en deserialización PHP en más de 30 plugins, esperó ocho meses y la activó entre el 5 y el 7 de abril. WordPress.org cerró los 31 plugins y forzó actualizaciones, pero la limpieza manual de los sitios afectados (unos 400.000 según el análisis de Patchstack) sigue en curso.
- Smart Slider 3 Pro 3.5.1.35: seis horas de update troyanizado. El 7 de abril, alguien accedió a la infraestructura de actualizaciones de Nextend y publicó una versión Pro completamente maliciosa con un kit de acceso remoto integrado. Estuvo disponible solo seis horas, pero todo sitio que actualizase en esa ventana quedó comprometido. La versión limpia es la 3.5.1.36 o superior. Detalles técnicos en el aviso de Patchstack.
- Quick Playground (CVE-2026-1830): RCE sin autenticación. Un fallo de Missing Authorization en endpoints REST permitía a atacantes no autenticados subir ficheros PHP arbitrarios y ejecutar código en el servidor. Afecta a todas las versiones hasta la 1.3.1. Actualización inmediata o desinstalación del plugin.
Qué puedes hacer hoy mismo
Lo de abril deja un mensaje incómodo: una actualización legítima puede ser un troyano si el canal del desarrollador está comprometido. Algunas cosas concretas que merece la pena revisar esta semana:
- Comprueba si tienes instalado algún plugin de la familia EssentialPlugin (countdown timers, sliders, hero banners, post grids). Si aparece, no basta con desactivar: hay que eliminar el directorio y revisar
wp-config.phpywp-contenten busca de código inyectado. - Si usas Smart Slider 3 Pro, confirma que la versión instalada es la 3.5.1.36 o superior. Si pasaste por la 3.5.1.35 en algún momento, asume compromiso y haz limpieza completa, no solo update.
- Actualiza el core a WordPress 6.9.4 si aún no lo hiciste.
- Replantea las actualizaciones automáticas en plugins críticos: una pequeña ventana de revisión humana (24-48h) habría evitado las dos catástrofes del mes. Para sites que no puedes vigilar tú, usa un servicio que lo haga.
- Haz inventario de cuentas administrador. Los dos ataques del mes creaban usuarios admin sin avisar.
Mantener WordPress al día no es darle a “actualizar” y mirar para otro lado: es elegir qué actualizar, cuándo, y quién vigila lo que se mueve por debajo. En BlindajeWeb lo hacemos por ti, todos los días del mes, sin que tengas que abrir un panel. Conoce cómo trabajamos en blindajeweb.com.
