Alerta del MICITT: ¿su página WordPress está en riesgo?

Si tiene una página en WordPress, una tienda en línea o un sitio que recibe consultas de clientes, la alerta de seguridad del MICITT también le interesa. Aunque usted no programe ni administre servidores, conviene confirmar con su alojamiento que ya aplicó la actualización necesaria. Actualizar los plugins o cambiar la contraseña del administrador no resuelve por sí solo este problema.

El MICITT comunicó el 21 de octubre de 2026 un llamado preventivo ante fallos graves en PHP, una tecnología que utilizan WordPress y muchas otras páginas. Su recomendación central es atender las actualizaciones oficiales y revisar los sistemas expuestos. A continuación le explicamos cómo llevar esa advertencia a acciones concretas para su web.

¿Qué pasó y por qué se habla de WordPress?

PHP es parte del software que hace funcionar WordPress en el servidor. Se utiliza para tareas como preparar una página, procesar un formulario o gestionar información de una tienda. El problema anunciado afecta a ese software del alojamiento; no se limita a un tema o a un plugin específico.

El proyecto WordPress pidió revisar y actualizar PHP. Las correcciones ya fueron publicadas. Lo que debe confirmar cada propietario es si su proveedor las instaló en el entorno que realmente atiende su dominio. Que otra persona tenga el mismo plan de hosting o que el escritorio diga “WordPress actualizado” no confirma ese punto.

¿Eso significa que mi página fue hackeada?

No. La alerta avisa de un riesgo que necesita atención; no demuestra que alguien haya entrado a su página. Para investigar un ataque hacen falta señales y evidencia de lo ocurrido. Tampoco conviene dar por resuelto el riesgo solo porque la web se vea normal: una página puede seguir abriendo mientras el servidor necesita una actualización.

La pregunta útil es: “¿mi alojamiento ya corrigió este problema y cómo lo confirma?”. Si su web procesa pedidos, solicitudes o datos personales, identifique quién debe responderla y conserve su confirmación. Evite los mensajes alarmistas que afirman que todos los sitios WordPress ya fueron comprometidos.

Cómo revisar su WordPress sin saber programar

Entre al escritorio desde la dirección habitual de su sitio. Vaya a Herramientas → Salud del sitio → Información → Servidor y busque “Versión de PHP”. Anote el dato completo. No hace falta instalar un plugin nuevo ni compartir el acceso con una página de comprobación.

Si ve una versión como 7.4, está ante una rama antigua que también necesita un plan de actualización. Si ve 8.2, 8.3 u otra versión más reciente, copie todos los números que aparezcan: dentro de una misma rama puede haber revisiones anteriores y posteriores a la corrección. El proveedor también puede aplicar sus propios parches, por lo que debe confirmar el estado del servidor y no solo el número que aparece en pantalla.

Puede usar el comprobador de PHP en WordPress de Movensa. Si la revisión por dirección no encuentra una versión, no significa que la herramienta detectó un ataque ni que su sitio esté protegido. Muchos alojamientos no publican ese dato. En ese caso, use el dato del panel o solicítelo al hosting.

Qué pedirle al proveedor de hosting

Puede enviar una consulta como esta, adaptándola al nombre de su dominio:

“Hola. Tengo una página WordPress alojada con ustedes. Quiero confirmar si el servidor que la atiende ya recibió la actualización de seguridad de PHP relacionada con la alerta del MICITT de octubre de 2026. Por favor indiquen la versión activa, si ya aplicaron la corrección y si debo hacer algún cambio en mi cuenta. También necesito saber si revisaron la compatibilidad de la página.”

Si le responden únicamente “tenemos protección” o “todo está actualizado”, pida una confirmación específica sobre PHP. También pregunte quién hará las pruebas de la web después del cambio. Guarde la respuesta junto con la información del dominio y del alojamiento, sin incluir contraseñas ni datos de clientes.

Por qué actualizar WordPress y los plugins no basta

WordPress, los plugins, el tema y PHP son piezas relacionadas, pero se mantienen en lugares distintos. El escritorio permite actualizar buena parte del contenido de la aplicación. PHP suele depender del panel del hosting o de la administración del servidor. Por eso puede tener WordPress al día y conservar una versión antigua de PHP.

Mantener los plugins actualizados sigue siendo importante. Sin embargo, instalar varios plugins de seguridad para intentar corregir este aviso puede añadir conflictos sin resolver el problema del servidor. Primero identifique qué necesita cambiar, quién tiene acceso para hacerlo y qué evidencia dejará del resultado.

Antes de cambiar PHP, proteja la información

Cambiar de versión puede descubrir incompatibilidades en un plugin, un tema o una función hecha a medida. La actualización debe coordinarse, especialmente si la web recibe pedidos o consultas todos los días. Una copia de seguridad que nadie sabe restaurar no es una preparación suficiente.

• Confirme una copia reciente de la base de datos y los archivos, guardada fuera de la instalación que se va a modificar.
• Identifique quién puede recuperar el sitio si algo deja de funcionar y cómo se conservarán pedidos o cambios recientes.
• Pruebe el cambio en una copia de la web cuando sea posible, sin enviar mensajes ni cobrar pedidos reales por accidente.
• Haga una lista corta de funciones importantes: acceso, formularios, carrito, pagos y correos de confirmación.

Encontrará el procedimiento completo en nuestra guía sobre cómo actualizar PHP en WordPress sin que su página deje de funcionar.

Si la página está caída, redirige o muestra contenido extraño

Una página caída puede deberse a mantenimiento, un error de configuración o una medida preventiva del proveedor. No equivale automáticamente a un hackeo. Puede comenzar por comprobar si la web responde desde otra conexión y preguntar al alojamiento si hay una intervención en curso.

Si aparecen anuncios que no puso, redirecciones inesperadas, usuarios desconocidos o cambios extraños, conserve capturas, fechas y avisos del proveedor. Evite borrar archivos al azar o ejecutar varias limpiezas sin un plan. Un análisis de incidente debe revisar el origen, los accesos y la recuperación, además de aplicar las actualizaciones pendientes.

¿No sabe quién administra su página?

Busque la factura del hosting, el correo de renovación del dominio o la información de quien creó el sitio. Dominio y alojamiento pueden estar en empresas diferentes. Reúna esos datos antes de pedir una intervención; no publique claves ni entregue códigos de acceso a personas que le contacten sin que usted lo haya solicitado.

Grupo Movensa puede ayudarle a revisar su página WordPress, identificar qué depende del alojamiento y coordinar respaldos, compatibilidad y pruebas según su caso. Si no sabe por dónde empezar, explíquenos qué página tiene y qué necesita revisar. No hace falta conocer el nombre técnico del problema para pedir ayuda.

Fuentes para ampliar la información

• Comunicado del MICITT sobre la actualización preventiva de PHP.
• Aviso de WordPress para propietarios de sitios.
• Publicación oficial de las actualizaciones de PHP.
• Orientación de WordPress para actualizar PHP.

Información revisada el 22 de octubre de 2026. El alojamiento debe confirmar la corrección y la versión activa de cada sitio.