Octubre ha dejado una lección incómoda: puedes tenerlo todo actualizado y aun así quedar expuesto. Una brecha en TeamUpdraft, la empresa detrás de UpdraftPlus, permitió usar claves robadas para meter puertas traseras en webs WordPress. Y no fue lo único del mes.
Lo que ha pasado este octubre en cifras
El volumen sigue disparado. Solo en la semana del 5 al 11 de octubre, Wordfence añadió 655 vulnerabilidades a su base de datos, repartidas entre 406 plugins y 100 temas. Casi el doble de una semana normal este año.
La parte buena: la mayoría llega con parche. En el último informe semanal con desglose completo, el del 21 al 27 de septiembre, Wordfence registró 318 fallos: 305 ya corregidos y solo 13 sin solución. Lo que pesa son las de severidad alta, 79 esa semana. XSS y falta de autorización siguen siendo los fallos más repetidos.
Vulnerabilidades destacadas del mes
- UpdraftPlus y UpdraftCentral. El 17 y 18 de octubre alguien accedió a teamupdraft.com y, según la propia empresa, a su base de datos de clientes, con claves de conexión de UpdraftCentral incluidas. Con esas claves se instalaron plugins maliciosos y administradores falsos. Afecta a webs conectadas a UpdraftCentral en la nube, y ojo, porque esa opción venía marcada por defecto. Solución: UpdraftPlus 1.26.13 (gratis) o 2.26.13 (Premium) y revisar la web. Análisis de Patchstack.
- Bricksforge (CVE-2026-85097, CVSS 9.8). Permite subir y ejecutar código PHP sin iniciar sesión. Patchstack detectó ataques reales desde el 7 de octubre. Corregido en la versión 3.1.8.10. Más info en SecurityWeek.
- PHP2Shell (CVE-2026-109618 y CVE-2026-109619). No es un fallo de WordPress, es de PHP, así que afecta a cualquier web que lo use. Dos vulnerabilidades críticas (CVSS 9.2) que pueden permitir ejecutar código en remoto sin autenticación. PHP sacó versiones de emergencia el 21 de octubre: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Nota oficial de PHP.
Qué revisar esta misma semana
- Pregunta a tu hosting qué versión de PHP tienes. Si es anterior a las del 21 de octubre, que la actualicen ya.
- Si usas UpdraftPlus, actualízalo y entra en sus herramientas avanzadas, apartado UpdraftCentral. Borra cualquier clave que no reconozcas.
- Repasa la lista de administradores y de plugins instalados. Lo que no te suene, fuera.
- Bricksforge a la 3.1.8.10 y Backuply a la 1.5.9 como mínimo. WordPress, a la última 7.1.x.
- Comprueba que tienes una copia de seguridad reciente guardada fuera del servidor.
Nada de esto es glamuroso, pero es lo que separa una web tranquila de un lunes de sustos. En BlindajeWeb vigilamos parches, PHP y accesos cada semana para que tú no tengas que hacerlo.
