El INCIBE (a través de su equipo de respuesta INCIBE-CERT) ha publicado una alerta temprana sobre una vulnerabilidad crítica en el núcleo de WordPress: la CVE-2026-63030. Con una puntuación CVSS de 9,8 sobre 10, es de las más graves que se pueden dar en el gestor de contenidos más usado del mundo, y afecta directamente a millones de webs. Si tu empresa tiene una web en WordPress, esto te interesa —y es la mejor prueba de por qué el mantenimiento de WordPress no puede dejarse para más adelante—.
En este artículo te explicamos, sin tecnicismos innecesarios, qué es esta vulnerabilidad, a quién afecta, por qué mantener WordPress actualizado ha dejado de ser opcional y cómo desde Grupo ZAS ayudamos a que tu web esté siempre protegida con un mantenimiento de WordPress profesional y continuo.
Qué es la vulnerabilidad CVE-2026-63030
La CVE-2026-63030 es una vulnerabilidad de tipo inyección SQL combinada con una confusión de enrutado en el endpoint por lotes de la API REST de WordPress. Dicho en cristiano: un atacante puede aprovechar cómo procesa WordPress ciertas peticiones para inyectar consultas maliciosas en la base de datos y, encadenándolo con otro fallo (CVE-2026-60137, en el parámetro author__not_in), llegar incluso a ejecutar código de forma remota en el servidor.
Estos son los datos clave que ha recogido el INCIBE:
- Gravedad: crítica, con una puntuación CVSS v3.1 de 9,8 sobre 10.
- Vector de ataque: remoto y sin autenticación. No requiere usuario, ni contraseña, ni que nadie haga clic en nada. Basta con que la web sea accesible desde Internet.
- Impacto total: compromete la confidencialidad, la integridad y la disponibilidad del sitio. En la práctica, control completo de la web.
- Complejidad baja: es sencilla de explotar, lo que la hace especialmente peligrosa.
Cuando una vulnerabilidad reúne "crítica + remota + sin autenticación + fácil de explotar", los ataques automatizados a gran escala son cuestión de días. Los bots rastrean Internet buscando versiones vulnerables sin descanso, y solo un buen mantenimiento de WordPress cierra esa puerta a tiempo.
¿Está afectada mi web? Versiones de WordPress afectadas
La vulnerabilidad afecta al núcleo de WordPress (no a un plugin concreto) en estas ramas:
- WordPress 6.9.x anteriores a la 6.9.5.
- WordPress 7.0.x anteriores a la 7.0.2.
La solución oficial es actualizar a WordPress 6.9.5, 7.0.2 o versiones superiores. Si no sabes qué versión tiene tu web, la puedes ver en el escritorio de administración (Escritorio → Actualizaciones) o pedirle a tu equipo técnico que la revise. Ante la duda, trátalo como urgente: es más barato comprobarlo que recuperarse de un ataque.
Por qué el mantenimiento de WordPress no es opcional
WordPress mueve más del 40% de todas las webs del planeta. Esa popularidad es también su talón de Aquiles: es el objetivo favorito de los atacantes precisamente porque, cuando aparece un fallo, hay millones de webs potenciales donde probarlo. Y la mayoría de ataques con éxito no explotan fallos nuevos y sofisticados, sino vulnerabilidades ya conocidas y con parche disponible en webs que nadie actualizó a tiempo. Ahí es donde el mantenimiento de WordPress marca la diferencia entre una web protegida y una web hackeada.
Un WordPress desactualizado no es solo un riesgo técnico. Las consecuencias de un sitio comprometido son muy reales para un negocio:
- Robo de datos de clientes y del propio negocio, con las implicaciones legales que eso conlleva bajo el RGPD.
- Inyección de contenido malicioso o spam, redirecciones a webs fraudulentas y páginas falsas creadas dentro de tu dominio.
- Caída de la web y del servicio, con la pérdida de ventas y de contactos que eso supone.
- Penalización en Google: un sitio hackeado puede ser marcado como peligroso y desaparecer de los resultados de búsqueda, tirando por la borda años de SEO.
- Daño reputacional: recuperar la confianza de un cliente que ha visto tu web infectada cuesta mucho más que mantenerla protegida.
La lección de la CVE-2026-63030 es la de siempre, pero más clara que nunca: la seguridad de una web no es un estado, es un mantenimiento continuo. Un mantenimiento de WordPress bien hecho actualiza el núcleo, sí, pero también los plugins, los temas y la versión de PHP; hace copias de seguridad; y vigila. Todo el rato.
Qué hacer ahora mismo si tienes una web en WordPress
Si gestionas tu propia web, este es el plan de acción mínimo ante esta alerta:
- Comprueba tu versión de WordPress y actualiza cuanto antes a la 6.9.5 / 7.0.2 o superior.
- Haz una copia de seguridad completa (archivos y base de datos) antes de actualizar, por si algo falla.
- Actualiza también plugins y temas, que son la otra gran puerta de entrada de los atacantes.
- Revisa que la actualización no haya roto nada en la web una vez aplicada.
- Vigila accesos y actividad extraña en los días siguientes: usuarios nuevos que no reconoces, archivos modificados o picos raros de tráfico.
Si todo esto te suena a chino, o simplemente no quieres jugártela con la web de tu negocio, es exactamente para lo que sirve delegar el mantenimiento de WordPress en un equipo profesional. Para eso estamos nosotros.
Grupo ZAS: desarrollo, actualización y mantenimiento de WordPress
En Grupo ZAS llevamos más de 16 años desarrollando y cuidando webs en WordPress para empresas de Alicante y de toda España. Sabemos que un empresario no tiene por qué estar pendiente de cada alerta del INCIBE ni de cada nueva versión: para eso nos tienes a nosotros. Nuestro servicio de mantenimiento de WordPress cubre todo el ciclo de vida de tu web:
- Desarrollo web a medida en WordPress: webs corporativas, tiendas online y proyectos a medida, construidos con buenas prácticas de seguridad desde el primer día.
- Actualizaciones controladas: aplicamos las actualizaciones de núcleo, plugins y temas de forma segura, con copia de seguridad previa y comprobaciones, para que ningún parche te rompa la web.
- Mantenimiento de WordPress y soporte continuo: monitorización, copias de seguridad automáticas, actualizaciones periódicas y respuesta rápida ante incidencias. Tu web protegida, sin que tengas que pensar en ello.
- Auditorías y refuerzo de seguridad: revisamos el estado de tu WordPress, cerramos las puertas abiertas y lo dejamos preparado frente a amenazas como esta CVE-2026-63030.
La diferencia entre una web que resiste una alerta como esta y otra que acaba hackeada casi nunca es la suerte: es tener a alguien que se ocupe del mantenimiento de WordPress antes de que llegue el problema.
¿Quieres saber si tu WordPress está actualizado y protegido? Cuéntanos tu caso y revisamos el estado de tu web sin compromiso. Y si buscas tranquilidad a largo plazo, te explicamos cómo funciona nuestro servicio de desarrollo y mantenimiento de WordPress.
Preguntas frecuentes
¿Qué es la vulnerabilidad CVE-2026-63030 de WordPress?
Es una vulnerabilidad crítica (CVSS 9,8) del núcleo de WordPress que combina una confusión de enrutado en la API REST con una inyección SQL. Permite a un atacante, sin necesidad de autenticarse, manipular la base de datos e incluso ejecutar código en el servidor, comprometiendo por completo la web. Afecta a WordPress 6.9.x anterior a 6.9.5 y 7.0.x anterior a 7.0.2.
¿Cómo sé qué versión de WordPress tengo?
Puedes verlo en el panel de administración, en Escritorio → Actualizaciones, donde aparece tu versión actual y si hay una más reciente disponible. Si no estás seguro, tu proveedor técnico puede comprobarlo en segundos. Ante una alerta crítica como esta, conviene verificarlo cuanto antes.
¿Cómo me protejo de esta vulnerabilidad?
Actualizando WordPress a la versión 6.9.5, 7.0.2 o superior, que ya incluyen la corrección. Es recomendable hacer una copia de seguridad completa antes de actualizar y aprovechar para poner al día también los plugins y temas. Si prefieres no arriesgarte, en Grupo ZAS lo hacemos por ti con nuestro servicio de mantenimiento de WordPress.
¿Por qué es tan importante el mantenimiento de WordPress?
Porque la mayoría de los ataques con éxito no aprovechan fallos nuevos, sino vulnerabilidades ya conocidas y con parche disponible en webs que no se actualizaron a tiempo. Al ser el gestor más usado del mundo, WordPress es un objetivo constante de ataques automatizados. Un mantenimiento de WordPress continuo es la primera y más eficaz línea de defensa.
¿Qué incluye el servicio de mantenimiento de WordPress de Grupo ZAS?
Actualizaciones controladas de núcleo, plugins y temas; copias de seguridad periódicas; monitorización de seguridad; y soporte con respuesta rápida ante incidencias. El objetivo es que tu web esté siempre protegida y funcionando, sin que tengas que preocuparte tú de ello.
Servicios que pueden ayudarte
Si este artículo te ha resultado útil, estos servicios pueden interesarte: