¿Por qué tu WordPress necesita mantenimiento profesional en 2026?

WordPress mueve el 40,2 % de todas las webs del mundo, según W3Techs (septiembre de 2026). Eso lo convierte en el gestor de contenidos más usado y, por lo mismo, en el objetivo favorito de quien busca webs que atacar. Si tienes una web con WordPress y nadie la mantiene, el problema no es si algo fallará, sino cuándo.

En resumen: WordPress actualiza solo su núcleo, pero no tus plugins ni tu tema, que es justo donde aparecen casi todas las vulnerabilidades, ni la versión de PHP del servidor, que en octubre de 2026 tuvo dos fallos críticos que ya se están explotando. Mantener una web es actualizar con cuidado, tener copias de seguridad que funcionen, vigilar la seguridad y el rendimiento, y saber qué hacer cuando algo se rompe.

El problema: webs abandonadas

La mayoría de las webs WordPress que vemos en consultas iniciales llevan meses (o años) sin actualizar. Plugins obsoletos, temas con vulnerabilidades conocidas y un núcleo de WordPress dos o tres versiones por detrás. El resultado es predecible: webs lentas, con errores y, en el peor caso, infectadas con malware.

Dónde están de verdad los riesgos

Es habitual pensar que el peligro está en WordPress en sí. Los datos dicen otra cosa. Según el informe anual de Patchstack sobre la seguridad de WordPress, en 2025 se descubrieron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress: el 91 % estaban en plugins, el 9 % en temas y solo 6 en el núcleo, todas de prioridad baja.

Dicho de otro modo: tu web es tan segura como el plugin menos cuidado que tengas instalado. Cada plugin que añades es código de un tercero que hay que mantener al día. Si quieres ver qué asoma de tu web desde fuera, el comprobador de WordPress compara las versiones que se ven con las últimas publicadas.

Qué actualiza WordPress solo (y qué no)

WordPress instala solo las actualizaciones menores y de seguridad de su núcleo desde la versión 3.7 (2013), y las instalaciones nuevas desde la 5.6 también reciben las versiones mayores. Pero las actualizaciones automáticas de plugins y temas vienen desactivadas por defecto: si nadie las activa o las aplica, se quedan sin actualizar.

Por eso no basta con «tener WordPress actualizado»: casi todas las vulnerabilidades que recoge Patchstack están en piezas que WordPress no actualiza por ti.

Activar las actualizaciones automáticas de todo tampoco es la solución. Una actualización de un plugin puede romper el diseño, un formulario o la pasarela de pago si no es compatible con el resto de la web. La clave es actualizar con control: con una copia de seguridad reciente y comprobando después que todo sigue funcionando.

PHP tampoco se actualiza solo

WordPress funciona sobre PHP, el lenguaje que ejecuta el servidor, y la versión de PHP no se cambia desde el panel de WordPress: depende del hosting. El 21 de octubre de 2026, PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS 4.0 de 9,2. Según el aviso de php.net, permiten ejecutar código en el servidor sin iniciar sesión y afectan a toda instalación de PHP que sirve webs.

No es un riesgo teórico: el 26 de octubre, la agencia de ciberseguridad CISA los añadió a su catálogo de vulnerabilidades que se están explotando.

PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto. Para ellas, PHP solo publicó un parche mínimo para quien compila PHP por su cuenta, y algunos proveedores lo han aplicado sin cambiar el número de versión: Ubuntu 24.04, por ejemplo, sigue mostrando PHP 8.3.6 con el parche puesto. Así que el número que ves no dice por sí solo si tu web está protegida. Y no son pocas webs: el 37,6 % de las webs WordPress usaba PHP 8.1 o anterior el 28 de septiembre de 2026, según las estadísticas de WordPress.org.

Qué hacer: pregunta a tu hosting qué versión de PHP usa tu web y si tiene el parche del 21 de octubre. Si está en la 8.1 o en una anterior, planifica el paso a una versión con soporte, comprobando antes que tu tema y tus plugins la admiten. El comprobador de WordPress te dice qué versión de PHP enseña tu web hacia fuera.

¿Qué incluye un mantenimiento profesional?

Un buen servicio de mantenimiento va más allá de pulsar «Actualizar todo». Incluye:

• Actualizaciones controladas de plugins, temas y núcleo, verificando la compatibilidad antes de aplicar cambios.
• Copias de seguridad automatizadas con posibilidad de restauración rápida.
• Monitorización de seguridad para detectar intentos de intrusión y malware.
• Monitorización de disponibilidad, para enterarte de una caída antes que tus clientes.
• Optimización de rendimiento: limpieza de base de datos, caché, compresión de imágenes.
• Informes mensuales para que sepas exactamente qué se ha hecho en tu web.

¿Lo hago yo o lo delego?

Puedes mantener tu web por tu cuenta si tienes tiempo y algo de conocimiento técnico. Como mínimo, cada semana:

1. Haz una copia de seguridad completa (archivos y base de datos) y guárdala fuera del servidor.
2. Revisa las actualizaciones pendientes y lee qué cambia en cada una antes de aplicarla.
3. Actualiza y comprueba las páginas clave: inicio, formularios, carrito y pago si tienes tienda.
4. Borra los plugins y temas que no uses: desactivados siguen siendo código en tu servidor.

Si esto te suena a demasiado, o tu web es la que te trae clientes, compensa delegarlo. Lo que cuesta un mantenimiento mensual es poco comparado con una web caída o hackeada. Si quieres comparar precios, en el observatorio de precios del mantenimiento web tienes cuánto cuesta mantener una web, con la mediana de las tarifas públicas en cada nivel.

¿Qué pasa si no hago mantenimiento a mi web?

Al principio, nada que se vea. La web sigue funcionando mientras se acumulan versiones atrasadas de plugins, tema y PHP. El problema llega cuando se publica un fallo en alguna de esas piezas: según el informe de Patchstack, la mediana ponderada desde que se publica una vulnerabilidad hasta el primer ataque es de 5 horas. Las señales más habituales son una web lenta, errores tras una actualización del hosting o un aviso de Google de que la web es peligrosa. Si tu web ya está así, empieza por qué hacer con una web que nadie mantiene.

¿Cada cuánto hay que hacer mantenimiento?

Las actualizaciones de seguridad, en cuanto salen: con 5 horas de margen medio, esperar al mes siguiente es demasiado. El resto (revisar actualizaciones, probar la web, comprobar las copias de seguridad) basta con hacerlo cada semana, como en la lista de arriba.

¿Qué hago si mi web sufre un ataque y necesito mantenimiento urgente?

No borres nada todavía: haz una copia completa de lo que hay y cambia enseguida todas las contraseñas (WordPress, hosting y base de datos). Después toca limpiar el malware, actualizarlo todo para cerrar el agujero por el que entraron, revisar los usuarios y pedir a Google que revise la web si la ha marcado como peligrosa. Lo tienes paso a paso en la guía de emergencia para webs hackeadas, y si prefieres que lo hagamos nosotros, en recuperar una web hackeada.

¿Hay un mantenimiento web asequible?

Sí, pero compara lo que incluye y no solo el precio: copias diarias, tiempo de respuesta, si incluye el hosting y si hay permanencia. En el observatorio de precios del mantenimiento web tienes la mediana de cada nivel con las tarifas públicas de decenas de proveedores, y puedes filtrarlas por lo que necesitas.

El coste de no hacer nada

Una web hackeada puede tardar días en recuperarse. Mientras tanto, pierdes visitas, clientes y posicionamiento en Google. Recuperar una web con malware cuesta desde 300 € + IVA (el precio final depende de lo que haya pasado y se da antes de empezar), mientras que un plan de mantenimiento preventivo empieza en 39 € + IVA al mes.

¿Necesitas ayuda con tu WordPress?

En Desatranques WEB tenemos tres planes de mantenimiento, todos sin permanencia:

• Esencial (39 € + IVA al mes): actualizaciones, copias de seguridad periódicas, monitorización, optimización de imágenes, limpieza de la base de datos e informe mensual.
• Smart (59 € + IVA al mes): lo anterior más optimización de velocidad, seguridad avanzada, copia diaria, recuperación de emergencia incluida (incidentes desde el alta), gestión del hosting y licencias premium.
• Business (100 € + IVA al mes): lo anterior más mantenimiento SEO y GEO de los contenidos y soporte urgente con respuesta en 4 horas.

Planes de mantenimiento WordPress

Actualizaciones, copias de seguridad, seguridad y soporte. Desde 39 € + IVA al mes, sin permanencia.

Tu web es tu negocio. Cuídala.