Nivel: ⭐
Si tu negocio tiene una página web hecha con WordPress —la mayoría de las pequeñas empresas en España—, esto te interesa. No es una amenaza teórica. El agujero existe, el parche está disponible desde agosto, y dos de cada tres sitios que usan el plugin All-in-One WP Migration and BackupCopia de seguridad de tus datos. Es la práctica de guardar una copia de tus archivos, bases de datos y configuraciones en un lugar separado del original, para poder recuperarlos si algo falla (un error, un ataque, un borrado accidental). La regla de oro: 3-2-1 (3 copias, en 2 soportes diferentes, 1 fuera de tu oficina). Todo autónomo debería tener backups automáticos de sus datos críticos. todavía no lo han instalado.
Lo que ha pasado
A finales de agosto se publicó la vulnerabilidad CVE-2026-19949, una brecha de seguridad grave (CVSS 8.8 sobre 10) en el plugin All-in-One WP Migration and BackupCopia de seguridad de tus datos. Es la práctica de guardar una copia de tus archivos, bases de datos y configuraciones en un lugar separado del original, para poder recuperarlos si algo falla (un error, un ataque, un borrado accidental). La regla de oro: 3-2-1 (3 copias, en 2 soportes diferentes, 1 fuera de tu oficina). Todo autónomo debería tener backups automáticos de sus datos críticos., una herramienta que usan más de 5 millones de sitios WordPress para migrar y hacer copias de seguridad.
La descubrió Jack Taylor, investigador de Defiant (Wordfence), y no es un fallo menor: permite a un atacante tomar el control completo de un sitio web sin necesidad de tener credenciales de acceso. Es una inyección SQL de segundo orden, explotable de forma remota y sin autenticación.
El desarrollador del plugin, ServMask, lanzó la versión 7.110 el 20 de agosto para corregirlo. Hasta ahí, una historia normal de ciberseguridad: aparece un fallo, se publica un parche, todos actualizan.
Pero no todos actualizaron.
El dato que preocupa
A principios de septiembre —dos semanas después del parche— solo el 35% de los sitios que usan All-in-One WP Migration habían instalado la versión 7.110. El 65% restante, unos 3,2 millones de sitios web, seguían expuestos.
Tres millones doscientas mil webs. Muchas de ellas, tiendas online, portafolios de autónomos, webs de pequeños negocios y asociaciones. Gente que probablemente ni siquiera sabe que usa este plugin.
Cómo funciona el ataque (sin el manual técnico)
El atacante no necesita la contraseña de tu WordPress. La cadena de ataque funciona en varios pasos, pero ninguno requiere que el atacante haya entrado en tu web antes:
Primero, deja código malicioso plantado a través de los trackbacks —esos avisos automáticos que aparecen cuando alguien enlaza un artículo tuyo. El plugin guarda esa información sin limpiarla correctamente. Después, cuando el administrador hace algo tan rutinario como restaurar una copia de seguridad desde el plugin, ese código se activa y ejecuta consultas a la base de datos que extraen información interna.
Con esa información, el atacante obtiene la clave secreta del plugin de migración. Y con esa clave, importa un archivo manipulado que contiene código ejecutable. Cuando el servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. carga ese código, el atacante tiene control total del sitio: puede robar datos de clientes, redirigir visitas a páginas de estafa o instalar malware.
Todo sin haber pisado el panel de administración.
¿Te afecta como autónomo?
La respuesta corta: solo si usas ese plugin. Pero conviene comprobarlo, porque muchas webs lo llevan instalado sin que el dueño lo sepa —viene incluido en ciertos themes o lo dejó quien montó la web.
Entra en el escritorio de WordPress, ve a Plugins → Plugins instalados y busca «All-in-One WP Migration» en la lista. Si ves «All-in-One WP Migration and Backup» y la versión es inferior a 7.110, estás en el grupo de riesgo. Si no aparece en la lista, no tienes este plugin —no hace nada más.
Y aunque no uses este plugin, la historia sirve para todos los que tenemos un negocio online: actualizar el software no es una tarea técnica, es cerrar la puerta por la noche.
Qué hacer AHORA (tres minutos)
- Verifica. Escritorio de WordPress → Plugins → Instalados. Busca «All-in-One WP Migration» en la lista.
- Actualiza. Si aparece y su versión es 7.109 o inferior, pulsa «Actualizar ahora». La versión 7.110 corrige la vulnerabilidad.
- Si no sabes cómo actualizar. Pídele a quien te hizo la web que revise los plugins. Es un trabajo de cinco minutos.
- Si no tienes a nadie. Considera contratar un mantenimiento básico de WordPress. No por la actualización en sí, sino por el coste de no hacerla.
La lección que debería quedarte
El problema no es que existan vulnerabilidades. En software complejo como WordPress, aparecen constantemente. La cuestión es que el parche lleva más de dos meses disponible y millones de sitios no lo han instalado.
Si tu web es el escaparate de tu negocio —y para muchos autónomos lo es—, no actualizar los plugins no es ahorrar tiempo: es dejar la puerta abierta. Y a diferencia de la tienda física, aquí el robo no lo ves hasta que el cliente te dice que algo raro pasa con su tarjeta.
Enlace: SecurityWeek · GitHub Advisory · SentinelOne