Vulnerabilidades PHP y WordPress: 5 CVE que una pyme debe revisar antes de que su web caiga
Una guía práctica para saber qué revisar en una web PHP o WordPress antes de que una versión antigua, un plugin olvidado o una plantilla sin soporte se conviertan en un problema.
Una web puede seguir abierta, recibir formularios y parecer normal mientras conserva una puerta sin cerrar. En la mayoría de pymes no suele fallar PHP como concepto: falla una versión antigua, un plugin olvidado, una plantilla abandonada o una copia de seguridad que nadie ha probado restaurar.
Estas vulnerabilidades sirven para entender el problema. No significa que tu web las tenga todas; significa que son una buena lista para saber qué revisar.
CVE-2024-4577: el riesgo de PHP CGI en servidores Windows
CVE-2024-4577 afectó a configuraciones de PHP CGI en Windows y podía permitir que una petición especialmente preparada ejecutara instrucciones no previstas por el servidor. El aviso fue importante porque afecta a la capa que ejecuta la web, no a un único plugin.
Qué revisar hoy: versión de PHP, sistema operativo del hosting y si se usa CGI/FastCGI. Si la web está en Linux con PHP actualizado, el escenario no es el mismo, pero mantener versiones soportadas sigue siendo obligatorio.
CVE-2024-27956: WordPress Automatic y el peligro del plugin abandonado
CVE-2024-27956 se relacionó con el plugin WordPress Automatic. El fallo podía abrir la puerta a manipulación de la base de datos en instalaciones vulnerables.
La lección no es solo actualizar ese plugin. Es localizar extensiones que ya no se usan, que proceden de una compra antigua o que nadie recuerda haber instalado. Un plugin desactivado también puede ser un problema si continúa alojado en el servidor.
Qué revisar hoy: inventario de plugins, fecha de la última actualización, desarrollador y necesidad real de cada uno.
CVE-2024-25600: constructores visuales también necesitan mantenimiento
CVE-2024-25600 afectó a Bricks Builder y demostró que un constructor visual puede convertirse en un punto crítico de seguridad. Los maquetadores facilitan crear páginas, pero suelen tener acceso amplio a contenido, plantillas y funciones de la web.
Qué revisar hoy: si se usan Elementor, WPBakery, Bricks u otro constructor, comprobar versión, compatibilidad con el tema y si existe soporte activo. Actualizar sin copia previa no es un plan; actualizar con copia y prueba sí.
CVE-2024-10924: una protección mal actualizada puede dejar de proteger
CVE-2024-10924 afectó a Really Simple Security y se hizo relevante por un posible salto de autenticación en versiones vulnerables. Es un buen recordatorio: instalar un plugin de seguridad no sustituye el mantenimiento.
Qué revisar hoy: Wordfence, Really Simple Security, plugins de login, copias, formularios y cualquier extensión con permisos de administrador. Son los componentes que deben estar mejor mantenidos, no los últimos de la lista.
CVE-2024-34102: cuando una tienda PHP expone más que una web corporativa
CVE-2024-34102 afectó a Adobe Commerce/Magento. No es WordPress, pero importa a cualquier negocio con comercio electrónico basado en PHP: una tienda almacena pedidos, datos de clientes, cuentas y, en algunos casos, integraciones con pagos o logística.
Qué revisar hoy: plataforma de tienda, extensiones instaladas, accesos de proveedores y procedimiento de actualización urgente cuando el fabricante publica un aviso crítico.
La comprobación útil: cinco preguntas para esta semana
- ¿Qué versión de PHP usa mi web y sigue recibiendo actualizaciones?
- ¿Qué plugins y temas están instalados, incluso si no están activos?
- ¿Cuáles llevan meses sin actualizar y por qué siguen ahí?
- ¿Hay una copia reciente y se ha probado restaurar?
- ¿Quién conserva acceso de administrador, FTP, hosting y dominio?
No hace falta perseguir cada CVE que aparece en internet. Hace falta saber qué software tienes, retirar lo que sobra, actualizar con método y poder recuperar la web si algo falla.
Fuentes y CVE citados
¿Quieres revisar tu web?
Comprobamos versiones, extensiones, accesos, copias y señales de riesgo para que tu web siga siendo una herramienta de negocio, no una fuente de sustos.