Tu WordPress es un monte en agosto: guía de prevención para que no arda todo
España lleva 32.000 hectáreas quemadas antes de que empiece el verano.
La UE avisa de que la temporada de incendios de 2026 será la más larga y destructiva en años.
Y mientras tanto, 11.334 vulnerabilidades nuevas aparecieron en el ecosistema WordPress solo en 2025. Un 42% más que el año anterior.
Dos cifras que no tienen nada que ver. Hasta que las pones una al lado de la otra y ves el mismo patrón:
el fuego siempre arrasa lo que nadie se molestó en cuidar.
La maleza que nadie limpia
El 95% de los incendios forestales en España los provoca el ser humano.
No hace falta un pirómano. Basta una colilla, una quema agrícola mal controlada, una chispa de un motor.
El monte lleva meses sin llover, la maleza se acumula y nadie poda.
El fuego no necesita un plan: solo necesita que tú no tengas uno.
En WordPress pasa exactamente igual.
El 92% de los hackeos vienen de plugins y temas desactualizados. No del core. No de un ataque sofisticado de película.
De un plugin de formularios que instalaste en 2019 y que sigue ahí, acumulando vulnerabilidades como el monte acumula hojarasca seca.
Ese plugin de slider que ya no usas pero «por si acaso».
Ese tema hijo que dejaste a medias.
Ese Contact Form 7 de hace tres versiones.
Maleza digital. Y cada día que pasa sin limpiarla, el riesgo sube.
Cortafuegos: los que se crean antes del incendio
En prevención forestal, un cortafuegos es una franja de terreno limpio que impide que el fuego salte de una zona a otra.
No es glamuroso. No sale en las noticias. Nadie pone una foto de un cortafuegos en Instagram.
Pero cuando llega el fuego, es la diferencia entre perder un trozo de monte y perderlo todo.
En tu sitio web, los cortafuegos se llaman:
- Firewall de aplicación (WAF): filtra el tráfico malicioso antes de que toque tu WordPress.
- Autenticación en dos pasos: porque «admin/admin123» es el equivalente digital de tirar una colilla al monte en agosto.
- Backups automáticos: no evitan el incendio, pero te permiten reconstruir sin empezar de cero.
- Principio de mínimos permisos: que el becario no tenga acceso de administrador, igual que no dejas a cualquiera hacer una quema agrícola.
Nada de esto es emocionante.
Pero cuando un bot ruso intente entrar por un plugin de SEO desactualizado a las tres de la mañana, vas a agradecer cada cortafuegos que pusiste.
Cinco horas: lo que tarda el fuego en llegar
En el monte, la ventana entre que se detecta un foco y se convierte en un incendio fuera de control puede ser de minutos.
Por eso existen las torres de vigilancia, los drones, los satélites. La detección temprana lo es todo.
En WordPress, los datos son igual de escalofriantes:
cuando se publica una vulnerabilidad, los atacantes empiezan a escanear en menos de 5 horas.
Los administradores tardan una media de 14 días en aplicar el parche.
Lee eso otra vez. Cinco horas contra catorce días.
Es como si los bomberos tardasen dos semanas en llegar a un incendio que se declaró el lunes.
Solo en diciembre de 2025, se publicaron 170 vulnerabilidades de WordPress en un solo día. Tres de ellas críticas, afectando a 2,3 millones de sitios. 91 siguen sin parche.
Eso no es un foco aislado. Eso es una ola de calor con viento de poniente.
El brigadista forestal y el sysadmin: primos hermanos
Los brigadistas forestales (BRIF) llevan años denunciando lo mismo: falta de efectivos, vehículos obsoletos, contratos precarios.
Se les pide que apaguen fuegos con medios del siglo pasado. Y cuando llega el verano, todo el mundo se sorprende de que arda.
Los sysadmins y developers que mantienen sitios WordPress viven en un universo paralelo sospechosamente parecido:
presupuestos de mantenimiento inexistentes, clientes que no quieren pagar por «seguridad» porque «si no ha pasado nada», y la eterna frase de «¿para qué vamos a actualizar si funciona?».
Funciona. Hasta que no funciona.
El monte está verde. Hasta que no lo está.
La prevención es invisible hasta que la necesitas, y entonces ya es tarde.
Tu checklist de prevención (de incendios y de hackeos)
Porque al final, la lista es sospechosamente parecida:
- Limpia la maleza: desinstala los plugins y temas que no uses. No los desactives: elimínalos.
- Crea cortafuegos: instala un WAF, activa 2FA, limita los intentos de login.
- Vigila: monitoriza tu sitio con herramientas como Wordfence o Patchstack. No esperes a ver el humo.
- Actualiza: plugins, temas y core. Siempre. Es la poda digital que mantiene tu monte limpio.
- Ten un plan de evacuación: backups diarios, offsite, probados. Que el día que arda, puedas levantar otro sitio en horas, no en semanas.
España afronta un verano crítico. Tu sitio web afronta uno todos los días.
La diferencia es que al monte no puedes ponerle un plugin de seguridad.
A tu WordPress sí. Y no tienes excusa para no hacerlo.