En corto: según Patchstack, en 2025 se encontraron 11 334 vulnerabilidades nuevas en el ecosistema WordPress, 42 % más que el año anterior, y el 91 % estaba en plugins. Una web en HTML dentro de Cloudflare no tiene plugins, ni panel de WordPress, ni base de datos expuesta: elimina las puertas por donde entran la mayoría de ataques.
Lo que vimos en 2026
Durante 2026 detectamos una campaña de hackeo que afectó a webs WordPress alojadas en servidores tradicionales. Solo en una tanda limpiamos 24 webs de clientes. Lo que encontramos se repetía:
- Plugins falsos con nombres que parecían legítimos, instalados por el atacante.
- Administradores ocultos que se volvían a crear solos si los borrabas.
- Bloques escondidos dentro del diseño, con enlaces a casinos y spam que solo veía Google.
- Archivos PHP camuflados entre las imágenes subidas.
- Páginas de phishing agregadas a la web de un cliente, y una portada reemplazada por una tienda falsa.
En varios casos el dueño no se enteró hasta que Google empezó a mostrar resultados raros o la web dejó de abrir.
Por qué se hackea un WordPress
WordPress en sí es bastante seguro: Patchstack reporta solo seis vulnerabilidades en el núcleo de WordPress en 2025, todas de baja prioridad. El problema está alrededor:
| Dato de Patchstack (2025) | Qué significa |
|---|---|
| 11 334 vulnerabilidades nuevas, 42 % más que en 2024 | Cada año aparecen más fallas por corregir. |
| 91 % en plugins y 9 % en temas | Cada plugin instalado es una puerta más. |
| 5 horas de mediana hasta la explotación masiva de las fallas más atacadas | Si no actualizas el mismo día, llegas tarde. |
Una web de negocio suele sumar varios plugins, un tema y un constructor visual: en una de las webs que reparamos había 25 plugins activos. Mantener todo eso actualizado a tiempo, todas las semanas, es lo que casi nadie hace. A eso se suman claves repetidas y accesos que nunca se quitan a personas que ya no trabajan con la empresa.
Qué cambia con una web en HTML dentro de Cloudflare
| Puerta de entrada | WordPress tradicional | Web en HTML dentro de Cloudflare |
|---|---|---|
| Plugins y temas | Decenas, que hay que actualizar | No existen |
| Panel /wp-admin | Abierto a intentos de ingreso | No existe |
| Base de datos de la web | Conectada a internet a través de PHP | La web no la necesita para mostrarse |
| Archivos PHP subidos por el atacante | Se ejecutan en el servidor | No se ejecuta PHP |
| Ataques que tumban la web (DDoS) | Depende del hosting | Protección de la red de Cloudflare |
Ninguna web es invulnerable: siempre hay que cuidar las claves y los accesos. Pero cada pieza que no existe es una pieza que no se puede atacar, y las puertas que vimos usar a los atacantes en 2026 simplemente no están en una web en HTML.
¿Y si mi web tiene que ser editable?
Sigue siéndolo. Las webs que hacemos con el constructor de MD7 se editan desde el navegador, y al guardar el cambio queda publicado. El editor no vive dentro de la web pública, así que no hay un /wp-admin que atacar.
Cómo pasar tu WordPress a Cloudflare sin perder nada
- Revisamos la web y, si está hackeada, la limpiamos primero.
- Copiamos las páginas, el diseño y los textos a HTML.
- Dejamos redirecciones 301 para no perder lo ganado en Google.
- Traemos tus correos al correo corporativo dentro de Cloudflare.
Qué trae el hosting está en hosting en Cloudflare, y por qué lo hicimos en MD7, 100 % Cloudflare.
Preguntas frecuentes
¿Por qué se hackea mi web WordPress?+
Casi siempre por plugins o temas con fallas sin actualizar, claves repetidas o accesos que no se quitaron. Según Patchstack, el 91 % de las vulnerabilidades nuevas de WordPress en 2025 estuvo en plugins.
¿Cómo sé si mi WordPress está hackeado?+
Señales comunes: resultados raros en Google (casinos, medicamentos), administradores que no creaste, plugins que no instalaste, redirecciones a otras webs o la web que deja de abrir.
¿Una web en Cloudflare no se puede hackear?+
Ninguna web es invulnerable, pero una web en HTML dentro de Cloudflare no tiene plugins, panel de WordPress ni PHP, que son las puertas más usadas por los atacantes.
¿Puedo editar una web en HTML?+
Sí. Las webs hechas con el constructor de MD7 se editan desde el navegador y al guardar quedan publicadas.
¿Pierdo mi posicionamiento si dejo WordPress?+
No, si se hace bien: MD7 deja redirecciones 301 de las direcciones viejas a las nuevas para conservar lo ganado en Google.