WordPress publicó el 28 de octubre de 2026 la versión 7.1.4, una versión de seguridad, y pidió actualizar los sitios «de inmediato». Una semana antes, el 21 de octubre, el proyecto PHP había sacado parches de urgencia para dos fallos de ejecución remota de código con una puntuación CVSS v4.0 de 9,2 sobre 10. Traducido a tu negocio: la web por la que entran tus formularios y tus pedidos corre sobre PHP, y un atacante que ejecute código en ese servidor se lleva los datos de tus clientes. El otro riesgo es más silencioso: si apagas la web para parchear y devuelves un error 404, la documentación de Google dice que esas URL salen de sus resultados. Actualizar WordPress y comprobar tu versión de PHP son las dos tareas de esta semana, y se hacen en el mismo rato.
Si prefieres que lo revisemos por ti, en Vandelay somos una agencia de diseño web en Barcelona y esto es lo primero que miramos cuando entramos en una web ajena.
Qué ha pasado y qué está confirmado
Los dos fallos de PHP del 21 de octubre
El 21 de octubre de 2026 el proyecto PHP publicó un aviso de seguridad por dos vulnerabilidades críticas de ejecución remota de código: CVE-2026-109618, por corrupción de memoria cuando se interrumpe la gestión de una falta de memoria, y CVE-2026-109619, por estado global que sobrevive a la petición que lo creó y lo reutiliza la siguiente. Ambas se corrigen en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y el equipo pide actualizar ya.
El aviso dice que el riesgo mayor está en mod_php, donde una petición sin autenticar puede disparar el ataque antes de que se ejecute el código de tu aplicación, y que hubo backports mínimos para PHP 7.4, 8.0 y 8.1, versiones que ya no reciben actualizaciones oficiales. La misma nota recuerda que PHP 8.2 llega a su fin de vida el 31 de diciembre de 2026. Lo he comprobado el 5 de noviembre de 2026 en el archivo de noticias de php.net.
Ese mismo 21 de octubre, John Blackbourn publicó en el blog de WordPress que para estos dos fallos no hacía falta ninguna actualización de WordPress, porque afectan a cualquier servidor que ejecute PHP, y que lo que hay que hacer es actualizar PHP y preguntar al proveedor de alojamiento. La nota indica dónde ver tu versión: Herramientas, Salud del sitio, Información, Servidor. Puedes leerla en el aviso de WordPress sobre la versión crítica de seguridad de PHP.
WordPress 7.1.4, la versión de seguridad del 28 de octubre
Siete días después llegó la parte que sí es de WordPress. La nota de WordPress 7.1.4, del 28 de octubre de 2026, enumera trece puntos: doce correcciones de seguridad y una actualización de certificados raíz. Entre las correcciones hay una ejecución remota de código en el proceso de actualización, varios casos de XSS almacenado en bloques, el Personalizador, las solicitudes de eliminación de datos personales y los inicios de sesión, una denegación de servicio almacenada en la Interactivity API y cambios del Personalizador sin publicar que podían ver usuarios no autenticados. Uno de esos puntos agrupa varios fallos de XSS, así que el número de fallos corregidos es mayor que doce.
El texto pide actualizar de inmediato y dice que los sitios con actualizaciones automáticas en segundo plano se actualizan solos. La siguiente versión mayor, WordPress 7.2, está prevista para el 8 de diciembre. La fuente es la nota de lanzamiento de WordPress 7.1.4.
Qué pide Google si tienes que apagar la web
La tercera pieza es lo que Google dice que hagas si tienes que dejar la web fuera de servicio un rato. Su documentación recomienda, primero, mantener el sitio en línea y limitar funciones, por ejemplo desactivando el carrito. Si hay que apagarlo entero, pide devolver una página de error informativa con código 503 y añadir la cabecera Retry-After, y avisa de que esa situación debe durar «un periodo muy corto de tiempo (unos pocos días como máximo)». Para cierres más largos propone una página de inicio indexable con código 200.
La guía dice también qué evitar: los códigos 403, 404 y 410, porque retiran las URL de la Búsqueda; devolver un 503 en el archivo robots.txt, porque bloquea todo el rastreo; bloquear el rastreo entero en robots.txt; usar noindex; y recurrir a la herramienta de retirada temporal de Search Console. Está en la guía de Google sobre pausar un negocio en línea.
Lo que no está confirmado: cuántas webs españolas siguen sin parchear, y si tu proveedor de alojamiento ya aplicó el parche en tu servidor. No puedo confirmarlo, y es la razón por la que el primer paso de la lista de abajo consiste en preguntarlo por escrito.
Qué cambia según tu tipo de negocio
En una tienda online sobre WooCommerce o PrestaShop, el alojamiento, las actualizaciones y la seguridad quedan en tus manos o en las de tu proveedor. Si tu tienda está en Shopify, del alojamiento y de las actualizaciones del sistema no te ocupas tú. Esa diferencia decide quién tiene que hacer algo esta semana y, en plena campaña de Black Friday, decide también a qué hora puedes permitirte una ventana de mantenimiento. Actualizar WordPress con pedidos en curso se hace de madrugada y con una copia de seguridad hecha diez minutos antes.
En un negocio local, la web suele ser el sitio donde se piden cita, mesa o presupuesto. Una clínica o un restaurante que deje la web devolviendo un error durante dos días pierde las reservas de esos dos días y, si el código devuelto fue un 404, también la indexación de las páginas afectadas. El cliente que buscaba cita no vuelve más tarde: llama al siguiente.
En un fabricante o una empresa industrial, la web es el catálogo y el formulario por el que pide información un comprador que compara proveedores durante semanas. Ahí el daño de un incidente de seguridad es doble: la caída y lo que queda en el servidor. Un atacante con ejecución remota de código tiene acceso a la base de datos donde están los contactos que has tardado meses en conseguir.
Cómo actualizar WordPress y PHP hoy
Estos pasos se hacen desde el escritorio de WordPress y el panel de tu alojamiento. No necesitas ninguna herramienta de pago.
- Mira qué versión de PHP usa tu web: Herramientas, Salud del sitio, Información, Servidor. También aparece en el panel de tu alojamiento. Apunta el número exacto.
- Escribe a tu proveedor de alojamiento y pregúntale dos cosas: si ya ha aplicado el parche del 21 de octubre y en qué fecha lo hizo. Si tu versión es 8.5, 8.4, 8.3 o 8.2, la corregida es 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
- Si corres PHP 8.1 o una versión anterior, pide el salto a una versión con soporte. Esas ramas ya no reciben actualizaciones oficiales. Si corres 8.2, anota en el calendario el 31 de diciembre de 2026, cuando termina su soporte.
- Haz una copia de seguridad de los archivos y de la base de datos antes de tocar nada, y comprueba que sabes restaurarla. Una copia que nunca has probado no es una copia.
- Actualiza WordPress a la 7.1.4 desde Escritorio, Actualizaciones. Si tienes las actualizaciones automáticas en segundo plano activadas, comprueba que el número que aparece es ese.
- Actualiza también los plugins y el tema, y haz una lista de los que llevan más de un año sin publicar versión. Un plugin abandonado es el siguiente agujero.
- Si hay que apagar la web, devuelve un 503 con la cabecera Retry-After y una página que explique al visitante qué pasa y cuándo volver. Google pide hacerlo fuera de PHP, por ejemplo desde el DNS o un CDN, para que el servidor no tenga que responder. Nunca un 404, un 403 o un 410, y nunca un 503 en robots.txt.
- Si la parada va a durar más de unos pocos días, deja una página de inicio indexable con código 200 que explique la situación, como propone la guía de Google.
- Al día siguiente, entra en Search Console y revisa el informe de páginas y la sección de problemas de seguridad. Si no sabes por dónde empezar, tienes el recorrido completo en nuestra guía de Google Search Console, y los plazos que tarda Google en volver a rastrear e indexar en los tiempos reales de indexación que Google presentó en Barcelona.
Mientras estés revisando el servidor, mira también cómo responde tu dominio por HTTP. Chrome ya pide permiso al usuario antes de abrir una conexión insegura, y lo explicamos en el aviso de web no segura de Chrome.
Cuándo conviene que lo lleve un profesional
Hay señales concretas de que esto no se sostiene solo. Actualizar WordPress cuando alguien se acuerda no es un plan de mantenimiento. No sabes qué versión de PHP corre tu web ni quién la actualiza. No tienes copias de seguridad automáticas, o las tienes y nunca has restaurado ninguna. La web estuvo caída en algún momento del último mes y nadie sabe qué código devolvió. Tienes plugins sin actualizar desde hace meses: la última vez se rompió algo y nadie lo arregló. Nadie entra en Search Console, así que un problema de seguridad detectado por Google llevaría semanas sin leerse.
Qué cuesta hacerlo mal, con lo que dicen las fuentes y nada más. Según la guía de Google, devolver 403, 404 o 410 durante el cierre retira esas URL de la Búsqueda, y mantener el sitio entero apagado más de unos pocos días deja de ser una pausa aceptable. Según el aviso de PHP, dejar sin parchear un servidor con mod_php permite que una petición sin autenticar llegue antes que el código de tu web, y las mitigaciones parciales que publicó el equipo no dejan la instalación a salvo. No tengo una cifra con fuente de lo que cuesta en euros una web hackeada en España y no me la voy a inventar.
Si llevas tú el marketing de una empresa pequeña y la web es una de las veinte cosas que tienes encima, es el tipo de revisión que hacemos como agencia de marketing digital para pymes.
Cómo lo trabajamos en Vandelay
Este es el proceso que publicamos en la página del servicio, aplicado a este caso.
- En el diagnóstico gratuito revisamos tu sector, tu competencia y los datos que ya tengas: la web, la ficha de Google y la analítica. Aquí se ve en un minuto qué versión de PHP y de WordPress corre tu web y si hay plugins sin mantenimiento.
- Si tiene sentido trabajar juntos, recibes por escrito una propuesta con objetivos, indicadores, alcance, precio cerrado y calendario, así que sabes qué vas a pagar antes de empezar.
- En un proyecto de web nueva o de rediseño, empezamos por el mapa de recorridos: qué páginas necesita la web y qué camino sigue cada visita hasta pedir presupuesto o comprar. No desarrollamos hasta que apruebas el borrador.
- Desarrollamos en WordPress o en la plataforma elegida, con la configuración de SEO on-page, Google Analytics y Search Console conectados y la conexión con tus formularios, tu herramienta de email marketing o tu CRM. Search Console conectado es lo que te avisa de un problema de seguridad.
- Revisas la web entregada y hacemos los cambios que hagan falta, sin límite de rondas, hasta que la apruebes.
- Publicamos, te formamos para que la gestiones tú si quieres y tienes tres meses de soporte. La web, el dominio, el hosting y los accesos quedan a tu nombre. Si luego contratas el mantenimiento web, actualizar WordPress y los plugins pasa a ser nuestro trabajo y el hosting va incluido en la cuota.
Tienes el servicio completo, lo que entra en el precio y lo que va aparte en la página de diseño y desarrollo web de Vandelay.
Preguntas frecuentes
Sí, son dos cosas distintas. El aviso de WordPress del 21 de octubre de 2026 decía que para los dos fallos de PHP no hacía falta ninguna actualización de WordPress, porque el problema está en el servidor. La versión 7.1.4, del 28 de octubre, corrige fallos del propio WordPress, entre ellos una ejecución remota de código en el proceso de actualización y varios casos de XSS almacenado, y la nota de lanzamiento pide actualizar de inmediato. Parchear PHP no te deja actualizado en WordPress ni al contrario.
Un 503 con la cabecera Retry-After y una página de error que explique al visitante qué pasa, según la documentación de Google sobre pausar un negocio en línea. Esa misma guía pide evitar los códigos 403, 404 y 410, porque retiran las URL de la Búsqueda, y no devolver un 503 en el archivo robots.txt, porque bloquea todo el rastreo. Tampoco recomienda usar noindex ni la herramienta de retirada temporal de Search Console. Si la parada va a durar más de unos pocos días, propone dejar una página de inicio indexable con código 200.
Tú o tu proveedor. Tal como lo explicamos en la página de diseño web, con WooCommerce sobre WordPress o con PrestaShop eliges dónde se aloja la tienda y tienes más control sobre el código y los datos, y a cambio el alojamiento, las actualizaciones y la seguridad quedan en tus manos o en las de tu proveedor. Con Shopify no te ocupas del alojamiento ni de las actualizaciones, a cambio de una cuota mensual. En Vandelay trabajamos con las cuatro opciones.
No. Un proyecto de diseño web con Vandelay es puntual y sin permanencia: termina con la publicación y los tres meses de soporte que van incluidos. El mantenimiento web es opcional y se contrata solo si lo necesitas; con el mantenimiento contratado, las actualizaciones de WordPress y de los plugins las hacemos nosotros y el hosting va incluido en la cuota. Gestionamos y actualizamos así, por ejemplo, la web de una clínica de medicina estética en San Sebastián.
Abre hoy Salud del sitio, apunta tu versión de PHP y tu versión de WordPress, y escribe a tu proveedor de alojamiento preguntando por la fecha del parche. Si no sabes interpretar lo que ves, si tu versión de PHP ya no tiene soporte o si la web estuvo caída y nadie sabe qué devolvió, cuéntanoslo: pide el diagnóstico gratuito de Vandelay, una llamada de 15 minutos en la que revisamos tu web y te decimos qué hay que actualizar en WordPress y en el servidor, en qué orden y qué riesgo tienes ahora mismo, sin compromiso. Escríbenos desde la página de contacto de Vandelay o reserva la llamada directamente aquí.
Más artículos sobre Diseño web.
Sobre el autor
Jehiel Ramos · CEO y consultor digital
Jehiel Ramos es CEO y consultor digital en Vandelay, la agencia de marketing digital que fundó en Barcelona en 2020. Con más de diez años de experiencia en marketing digital, dirige la estrategia de los clientes de la agencia en posicionamiento SEO y GEO (visibilidad de marca en Google y en asistentes como ChatGPT, Gemini y Perplexity), campañas de Google Ads y Meta Ads, diseño web orientado a conversión y automatización de marketing con inteligencia artificial, siempre con un enfoque de retorno medible y no de métricas de vanidad. Escribe en el blog de Vandelay sobre la evolución de la búsqueda, la publicidad digital y la IA aplicada al marketing, con datos verificados en fuentes primarias. Puedes contactar con él en vandelay@vandelay.es o a través de su perfil de LinkedIn.
Perfil de LinkedIn · Todos sus artículos · Cómo producimos el contenido