En pocas palabras: Entre el 10 y el 16 de agosto de 2026, Wordfence publicó decenas de vulnerabilidades nuevas en plugins y temas de WordPress. Dato clave: la mediana entre divulgación y primer ataque activo fue de 5 horas, en un año que promedia entre 87 y 107 fallos por semana.
Wordfence publicó su reporte semanal de vulnerabilidades de WordPress correspondiente al período del 10 al 16 de agosto de 2026, con decenas de fallos nuevos en plugins y temas de uso masivo. El dato que más duele: la mediana entre la divulgación de un fallo y el primer ataque activo quedó en 5 horas, según los datos acumulados de Wordfence Intelligence.
El Wordfence Intelligence Weekly WordPress Vulnerability Report es el informe que la empresa de seguridad Wordfence (Defiant) publica cada lunes con las vulnerabilidades de WordPress detectadas durante la semana anterior. Cubre el core, los plugins y los temas, asigna a cada fallo una puntuación CVSS v3.1, distingue entre fallo divulgado y fallo bajo ataque activo, y la base completa se consulta gratis desde su portal de threat intelligence.
En 30 segundos
- 87 a 107 vulnerabilidades nuevas por semana: ese es el promedio de 2026 según Wordfence Intelligence, un 42% más que en 2024.
- 5 horas de margen: la mediana entre la divulgación de un fallo y los primeros ataques activos en 2026.
- 48.000+ CVEs acumulados en la base de vulnerabilidades de WordPress, con 11.334 entradas nuevas en lo que va del año.
- Pesos pesados en la mira: Elementor (10M+ instalaciones), WooCommerce, W3 Total Cache y WP Statistics aparecieron en los reportes de agosto de 2026.
- La base y la API de Wordfence Intelligence son gratuitas, y el plugin de Wordfence recibe reglas de firewall para cubrir fallos que todavía no tienen parche.
¿Cuántas vulnerabilidades WordPress se detectaron esta semana?
La semana del 10 al 16 de agosto de 2026 se movió dentro del promedio del año: entre 87 y 107 vulnerabilidades nuevas documentadas, según el histórico que publica Wordfence Intelligence. No fue un pico récord, pero tampoco un respiro.
El contexto pone las cosas en perspectiva: en 2024 el promedio semanal era un 42% más bajo, y cada reporte trae al menos un grupo de fallos con CVSS 9.0 o superior, la franja que Wordfence marca como crítica. La mayoría de las entradas sale de plugins de terceros, no del core. ¿Parece mucho? Es el promedio, no una anomalía. El detalle fallo por fallo, con versiones afectadas y puntuaciones, está en el reporte oficial de Wordfence.
¿Qué plugins WordPress están vulnerables en agosto de 2026?
Los nombres pesados del ecosistema concentraron la atención en los reportes de agosto: Elementor, con más de 10 millones de instalaciones activas, WooCommerce, W3 Total Cache (900.000) y WP Statistics (600.000), según los datos que cruza Wordfence Intelligence con el directorio oficial de plugins. Complementá con nuestra comparativa entre Wordfence y Sucuri.
Ponele que tenés una tienda con WooCommerce y Elementor, más un par de plugins de caché y estadísticas que instalaste hace años y nunca más miraste. Ese combo cubre casi todo el stack que estuvo en la mira esta temporada. Los tipos de fallo que dominan son los de siempre: XSS almacenado en formularios y widgets, inyecciones SQL en consultas mal sanitizadas y SSRF en funciones que hacen peticiones a URLs controladas por el usuario (sí, en serio, sigue pasando).
| Plugin | Instalaciones activas | Tipo de fallo documentado | Qué hacer hoy |
|---|---|---|---|
| Elementor | 10M+ | XSS en widgets y control de acceso | Actualizar a la última versión |
| WooCommerce | 5M+ | XSS y fallas de control de acceso | Actualizar y revisar roles |
| W3 Total Cache | 900k | SSRF y SQLi en configuraciones expuestas | Actualizar o desactivar hasta parchear |
| WP Statistics | 600k | SQLi sin autenticación | Actualizar de forma urgente |
Las versiones parcheadas exactas y el CVSS de cada entrada están en el reporte oficial. La regla práctica es simple: si usás alguno de estos plugins, actualizá hoy, no el viernes.
¿Cuánto tiempo pasa entre la divulgación de un fallo y el primer ataque?
Cinco horas. Ese es el número que cambia todo: la mediana entre la divulgación de una vulnerabilidad y los primeros ataques activos observados en 2026, según los datos de Wordfence Intelligence. Hacia 2019–2021 tenías días, a veces semanas, para reaccionar tranquilo.
El mecanismo es conocido: se publica el fallo, alguien sube el proof-of-concept a GitHub, los frameworks de explotación lo agregan como módulo, empiezan los barridos masivos contra cualquier WordPress que responda en internet y en un par de horas ya tenés bots probando el endpoint vulnerable en tu sitio, aunque vos te hayas enterado del aviso de seguridad esa misma tarde (spoiler: casi nadie se entera el mismo día). Te puede servir nuestra cobertura de qué solución limpia mejor el malware.
¿Cinco horas alcanzan para enterarte, evaluar y parchear? Justo, si tenés alertas configuradas. Si no, no llegás.
¿Cómo clasifica Wordfence Intelligence las vulnerabilidades?
Wordfence usa dos capas de puntuación: el CVSS v3.1, el estándar de la industria que va de 0 a 10 (de 9.0 a 10 es crítico y de 7.0 a 8.9 es alto), y su propio threat score, que pondera si existe exploit público y si se observan ataques reales. Un CVSS 9.8 sin exploit publicado es urgente; un 7.5 con exploit en la calle y 10 millones de instalaciones expuestas puede ser más urgente todavía.
La distinción que más me sirve es la que hace la base entre fallo «divulgado» y fallo «bajo ataque activo». El primero es un problema pendiente. El segundo es un incendio, y todo lo que aparece marcado así salta al tope de la cola de parcheo, sin discusión.
¿Dónde consultar el reporte semanal de vulnerabilidades de WordPress y cuánto cuesta?
Es gratis. Wordfence publica el informe cada lunes en su blog, mantiene la base completa en su portal de threat intelligence y expone los datos vía API pública en formato JSON, así que podés automatizar el cruce contra tu inventario de plugins sin pagar un peso. Para leer el detalle de la semana, el portal de vulnerabilidades de Wordfence es el punto de partida.
¿Cómo auditar tu sitio WordPress contra estas vulnerabilidades?
La auditoría no requiere herramientas exóticas: requiere rutina. Este es el flujo que aplico con clientes y que se sostiene semana a semana: Para más detalles técnicos, mirá cómo parchear correctamente estas CVE de WordPress.
- Exportá tu inventario de plugins. Con WP-CLI es una línea:
wp plugin list --format=csv. Sin WP-CLI sirve la pantalla de plugins, pero anotá las versiones. - Cruzá contra la base de Wordfence Intelligence. Buscá cada plugin y versión en el portal, o automatizalo con la API si administrás muchos sitios.
- Priorizá por CVSS y exposición. Un fallo crítico sin autenticación en un plugin con millones de instalaciones va primero. Siempre.
- Parcheá lo crítico en menos de 24 horas. Con la mediana de 5 horas entre divulgación y ataque, «la semana que viene» es un plan de riesgo.
- Cubrí los huecos sin parche con WAF. El firewall de Wordfence recibe reglas virtuales para los fallos recientes mientras el desarrollador publica la versión corregida.
Un detalle que casi nadie planifica: el parcheo rápido necesita un hosting que no te pelee. Backups automáticos y soporte que responda a las 7 de la mañana marcan la diferencia cuando tenés 24 horas de ventana; si están evaluando proveedores en Argentina, donweb.com cubre bien esa base para WordPress.
¿Qué hace diferente a Wordfence Intelligence de otras bases de datos CVE?
La especificidad. Las bases genéricas de CVEs registran el fallo y listo, pero Wordfence Intelligence vive dentro del ecosistema WordPress: documenta plugins y temas por versión exacta, cruza con telemetría de millones de sitios que corren su plugin y empuja reglas de firewall el mismo día. Patchstack y Sucuri publican datos similares y serios, y WPScan sigue siendo una referencia histórica del sector, pero la integración con el plugin gratuito y la cadencia semanal del reporte hacen que el flujo de Wordfence sea el más cómodo si ya administrás sitios en WordPress. Aclaración obvia: es la base del fabricante del plugin que te lo protege, así que tomalo con pinzas y cruzá fuentes cuando puedas.
¿Por qué 48.000+ CVEs registrados exigen auditoría continua?
La base acumulada de vulnerabilidades de WordPress superó los 48.000 CVEs, con 11.334 entradas nuevas en lo que va de 2026 según los acumulados del sector. Con ese ritmo, una auditoría anual es como revisar el candado una vez al año en un edificio que agrega 200 puertas nuevas por semana.
Lo que funciona es la combinación: monitoreo automático de la base, alertas configuradas y un día fijo de parcheo semanal. El problema no es un fallo puntual, es la cadencia. En el blog venimos siguiendo las vulnerabilidades críticas de plugins de 2026 y el reporte de Patchstack justamente por eso.
Errores comunes al responder el reporte semanal
Después de años viendo cómo reaccionan los equipos, estos son los tropiezos que repiten casi todos:
- Esperar el mail del desarrollador del plugin. Muchos desarrolladores no notifican a sus usuarios, o lo hacen días después. El reporte de Wordfence sale los lunes; tu rutina de parcheo tiene que salir el lunes también.
- Mirar solo el número de CVSS. Un 7.5 explotable sin autenticación en un plugin con 10 millones de instalaciones duele más que un 9.1 en un plugin que usa casi nadie. Pesá severidad y exposición juntas.
- Actualizar en producción sin backup ni staging. El parche de seguridad puede romper una integración, y ahí pasás de incidente de seguridad a incidente de disponibilidad. Backup primero, staging si podés, producción después.
- Desactivar el plugin vulnerable y olvidarte. Si no hay parche, desactivar o aplicar WAF es correcto, pero dejá un ticket abierto: la mitad de los sitios que operan así quedan meses con funciones rotas y nadie se acuerda por qué.
Preguntas Frecuentes
¿Qué es el Wordfence Intelligence Weekly WordPress Vulnerability Report?
Es el informe semanal que Wordfence publica cada lunes con las vulnerabilidades de WordPress detectadas en los últimos siete días, cubriendo core, plugins y temas. Cada entrada incluye versiones afectadas, puntuación CVSS y estado de explotación, y la consulta es gratuita. Esto se conecta con lo que analizamos en el WAF de Cloudflare frente al firewall de Wordfence.
¿Cuántas vulnerabilidades WordPress nuevas aparecen por semana en 2026?
Entre 87 y 107 en promedio, según los datos acumulados de Wordfence Intelligence, un 42% más que el promedio de 2024. Cada semana incluye al menos algunos fallos con CVSS 9.0 o superior, la franja crítica.
¿Qué hago si uno de mis plugins aparece en el reporte de Wordfence?
Actualizá a la versión parcheada de inmediato, con backup previo. Si todavía no hay parche disponible, desactivá el plugin o cubrí el fallo con las reglas del firewall de Wordfence hasta que salga la versión corregida.
¿El plugin gratuito de Wordfence me protege solo contra estas vulnerabilidades?
El firewall recibe reglas para los fallos recientes de forma casi inmediata, incluso en la versión gratuita. Eso mitiga la explotación mientras actualizás, pero no reemplaza el parcheo: la regla virtual es un puente, no la solución final.
¿Qué significa la puntuación CVSS en los reportes de vulnerabilidades?
Es una escala de 0 a 10 que mide la severidad técnica de un fallo: de 9.0 a 10 es crítico, de 7.0 a 8.9 es alto y de 4.0 a 6.9 es medio. Wordfence complementa ese número con su propio threat score, que pondera exploits públicos y ataques observados.
Conclusión
El reporte del 10 al 16 de agosto de 2026 no trae una bomba aislada: trae el ruido de siempre, a un volumen 42% mayor que hace dos años y con una ventana de reacción de 5 horas. Eso cambia la jugada. La seguridad en WordPress dejó de ser un proyecto anual y pasó a ser una rutina semanal de 20 minutos: leer el reporte los lunes, cruzar tu inventario, parchear lo crítico el mismo día y dejar el firewall cubriendo lo que aún no tiene parche. Si administrás sitios de clientes, esa rutina es el servicio que te diferencia. Empezá este lunes.
Fuentes
- Wordfence Blog – Reporte semanal de vulnerabilidades del 10 al 16 de agosto de 2026
- Wordfence Threat Intelligence – Base de datos de vulnerabilidades de WordPress
- Seguridad en WordPress – Vulnerabilidades semanales de WordPress (2026)
- Seguridad en WordPress – Vulnerabilidades críticas en plugins de WordPress 2026
- Seguridad en WordPress – Reporte de vulnerabilidades WordPress 2026 (Patchstack)