Ciberseguridad · WordPress · Protección de datos
Hackeo web WordPress: defensa técnica, denuncia legal y reporte de abuso WHOIS
Qué vulnerabilidades recientes de UpdraftPlus y PHP conviene conocer, cómo blindar el servidor y qué pasos legales dar: denuncia, notificación a la AEPD y aviso al proveedor de la IP atacante.
Un hackeo web WordPress no es solo un problema técnico: puede ser un delito, una brecha de datos personales que hay que notificar en horas y un ataque que conviene comunicar al proveedor de la IP de origen. Esta guía reúne, con fuentes oficiales, qué fallos se explotan, cómo cerrar la puerta y qué hacer, en orden, cuando ya ha ocurrido.
Resumen ejecutivo
WordPress mueve el 39,5 % de todos los sitios web y en 2025 se publicaron 11.334 vulnerabilidades nuevas en su ecosistema, el 91 % en plugins. Ante un hackeo web WordPress hay que contener el ataque y conservar las pruebas; si hay datos personales en riesgo, notificar a la AEPD sin dilación y, de ser posible, en 72 horas (art. 33 RGPD); denunciar ante la Guardia Civil o la Policía Nacional (arts. 197 bis y 264 del Código Penal), y reportar la IP al contacto de abuso que figura en el WHOIS o RDAP.
Más análisis jurídicos en la revista GCLEX Magazine.
Contenido del artículo
- Por qué el hackeo web WordPress es tan frecuente
- Casos críticos: vulnerabilidad UpdraftPlus y fallos de PHP
- Seguridad PHP WordPress: blindaje del servidor
- Lista de respuesta al incidente
- Notificar brecha AEPD: el plazo de 72 horas
- Denunciar ataque informático
- Reportar IP abuse WHOIS paso a paso
- Conclusión
- Preguntas frecuentes
1. Por qué el hackeo web WordPress es tan frecuente
Según W3Techs (consulta de 1 de noviembre de 2026), WordPress se usa en el 39,5 % de todos los sitios web y en el 58,2 % de los que tienen un gestor de contenidos identificable. Esa cuota lo convierte en objetivo prioritario de ataques automatizados.
El informe «State of WordPress Security in 2026» de Patchstack (actualizado el 25 de febrero de 2026, con datos de 2025) ofrece cifras útiles:
- Se publicaron 11.334 vulnerabilidades nuevas, un 42 % más que el año anterior: el 91 % en plugins, el 9 % en temas y solo 6 en el núcleo.
- Casi la mitad (46 %) no tenía parche cuando se hicieron públicas.
- En las vulnerabilidades más explotadas, la mediana ponderada hasta la explotación masiva fue de 5 horas.
- En su prueba, las defensas habituales de los proveedores de alojamiento solo bloquearon el 26 % de los ataques.
El mismo informe recoge datos de Monarx sobre lo que dejan los atacantes tras un hackeo web WordPress: archivos legítimos con código inyectado, scripts para subir ficheros (que casi se duplicaron en junio de 2025) y una tendencia a montar infraestructura persistente. Limpiar la portada no basta: hay que buscar puertas traseras.
2. Casos críticos: vulnerabilidad UpdraftPlus y fallos de PHP
UpdraftPlus, el plugin de copias de seguridad con más de tres millones de instalaciones activas según WordPress.org, ha tenido fallos que pueden abrir la puerta a un hackeo web WordPress. La vulnerabilidad UpdraftPlus más grave de 2026, CVE-2026-10795, permite saltarse la autenticación de las comunicaciones remotas y ejecutar órdenes como el administrador conectado (incluso instalar y activar un plugin). Afecta a sitios con una clave de UpdraftCentral (versión gratuita y de pago) o de Migrator (solo de pago) activa.
| CVE | Componente | Versiones afectadas | Gravedad (CVSS) | Solución |
|---|---|---|---|---|
| CVE-2026-10795 NVD, 11-6-2026 | UpdraftPlus: comunicaciones remotas (UpdraftCentral y Migrator) | Hasta 1.26.4 | 8,1 alta (Wordfence) | 1.26.5 (5-6-2026) |
| CVE-2022-0633 NVD, 17-2-2022 | UpdraftPlus: cualquier usuario con cuenta (incluso suscriptor) podía descargar la última copia | Gratuita anterior a 1.22.3; Premium anterior a 2.22.3 | 6,5 media | 1.22.3 y 2.22.3 (aviso oficial) |
| CVE-2024-4577 NVD, 9-6-2024 | PHP-CGI en Windows (inyección de argumentos) | 8.1 anterior a 8.1.29; 8.2 anterior a 8.2.20; 8.3 anterior a 8.3.8 | 9,8 crítica | 8.1.29, 8.2.20 y 8.3.8 (php.net) |
| CVE-2026-6722 NVD, 10-5-2026 | PHP: extensión SOAP (uso de memoria liberada, ejecución remota) | 8.2 anterior a 8.2.31; 8.3 anterior a 8.3.31; 8.4 anterior a 8.4.21; 8.5 anterior a 8.5.6 | 9,8 crítica (NVD); 9,5 (php.net, CVSS 4.0) | 8.2.31, 8.3.31, 8.4.21 y 8.5.6 |
| CVE-2026-6103 NVD, 25-9-2026 | PHP: PharData (tamaño de TAR mal calculado, permite inyectar entradas) | 8.2 anterior a 8.2.34; 8.3 anterior a 8.3.35; 8.4 anterior a 8.4.26; 8.5 anterior a 8.5.11 | 4,3 media (php.net); 3,3 baja (NVD) | 8.2.34, 8.3.35, 8.4.26 y 8.5.11 |
3. Seguridad PHP WordPress: blindaje del servidor
La seguridad PHP WordPress empieza por usar una rama con soporte. Según la tabla oficial de php.net (consulta de 1-11-2026), PHP 8.2 recibe parches de seguridad hasta el 31 de diciembre de 2026, PHP 8.3 hasta el 31 de diciembre de 2027, PHP 8.4 hasta 2028 y PHP 8.5 hasta 2029. PHP 8.1 y anteriores ya no reciben parches.
- Actualizaciones: núcleo, plugins y temas al día; borre lo que no use, aunque esté desactivado.
- Claves remotas: si no usa UpdraftCentral o Migrator, desconecte y elimine sus claves en UpdraftPlus.
- Accesos: doble factor para administradores, mínimos privilegios y revisión periódica de cuentas.
- Edición de archivos: desactive el editor del panel con
define('DISALLOW_FILE_EDIT', true);en wp-config.php. - Cortafuegos y registros: un cortafuegos de aplicación (WAF) ayuda, pero no sustituye a los parches; conserve los registros del servidor, que serán la prueba de un hackeo web WordPress.
- Copias: cifradas, fuera del servidor y probadas. Una copia descargable por cualquiera es una brecha.
4. Lista de respuesta al incidente
Si sospecha un hackeo web WordPress, el orden importa: primero contener y conservar pruebas, después limpiar. Marque cada paso a medida que lo complete.
Respuesta a un hackeo web WordPress paso a paso (orientativa)
Sin JavaScript, siga este orden: aislar el sitio sin borrar nada; copiar archivos, base de datos y registros; cambiar contraseñas y claves; revisar usuarios, plugins y archivos; documentar la brecha; notificar a la AEPD si hay riesgo; denunciar; reportar la IP; restaurar desde una copia limpia.
Lista orientativa: cada incidente exige una valoración técnica y jurídica propia.
5. Notificar brecha AEPD: el plazo de 72 horas
Si el hackeo web WordPress expone datos personales (clientes, formularios, pedidos), hay una brecha de seguridad. El artículo 33 del RGPD obliga al responsable a notificar la brecha a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella», salvo que sea improbable que entrañe un riesgo para los derechos de las personas. Si se notifica más tarde, hay que explicar el motivo del retraso. Y toda brecha, se notifique o no, debe documentarse (art. 33.5).
Si el riesgo es alto, el artículo 34 exige además comunicarlo sin dilación a las personas afectadas. Para notificar brecha AEPD se usa el formulario de la sede electrónica; la AEPD explica el trámite en su página sobre brechas y en su guía, y ofrece la herramienta Asesora Brecha.
Calculadora del plazo de 72 horas (orientativa)
Sin JavaScript: sume 72 horas al momento en que tuvo constancia de la brecha. Ejemplo: si lo supo el lunes a las 10:00, el límite orientativo es el jueves a las 10:00. Si se pasa, notifique igualmente y explique el retraso (art. 33.1 RGPD).
Indique la fecha y la hora en que tuvo constancia de la brecha.
Si es improbable que haya riesgo, no es obligatorio notificar, pero sí documentar la brecha y por qué no se notificó (art. 33.5 RGPD). Ante la duda, consulte la herramienta Asesora Brecha de la AEPD.
Está dentro del plazo orientativo. Notifique sin dilación: si le falta información, puede facilitarla de manera gradual (art. 33.4 RGPD).
Quedan menos de 24 horas. Priorice la notificación a la AEPD con la información disponible.
Han pasado más de 72 horas. Notifique cuanto antes y explique los motivos del retraso (art. 33.1 RGPD).
Cálculo orientativo de 72 horas seguidas desde el momento indicado y con la hora de su dispositivo. No sustituye el análisis del caso.
6. Denunciar ataque informático
Para denunciar ataque informático conviene saber en qué delitos puede encajar un hackeo web WordPress. El Código Penal (texto consolidado en el BOE) castiga:
- Art. 197 bis.1: acceder sin autorización a un sistema vulnerando sus medidas de seguridad, con prisión de seis meses a dos años.
- Art. 197 bis.2: interceptar transmisiones no públicas de datos, con prisión de tres meses a dos años o multa.
- Art. 197 ter: producir o facilitar programas o contraseñas para cometer esos delitos.
- Arts. 264 y 264 bis: dañar datos o programas, o interrumpir gravemente un sistema, con prisión de seis meses a tres años.
- Guardia Civil: sus Equipos de Investigación Tecnológica (EDITE) y Equipos @ actúan en cada provincia. Los delitos tecnológicos no se denuncian por e-denuncia: hay que acudir a un puesto o usar el formulario de colaboración sobre ciberdelincuencia.
- Policía Nacional: la Unidad Central de Ciberdelincuencia (Orden INT/859/2023) investiga los ataques a sistemas. La denuncia por internet debe firmarse después en comisaría.
- INCIBE 017: la línea de ayuda gratuita atiende de 8:00 a 23:00 todos los días, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
Aporte las pruebas que haya conservado: registros con IP, fecha y hora (con su zona horaria), archivos modificados y capturas.
7. Reportar IP abuse WHOIS paso a paso
Cada bloque de IP está asignado a una red cuyo responsable publica un contacto de abuso. Para reportar IP abuse WHOIS hay que averiguar qué registro regional (RIR) gestiona la IP y leer el campo correcto. Use este buscador guiado tras un hackeo web WordPress:
1. ¿Qué tiene: una dirección IP o un dominio?
IP: siga a la pregunta 2. Dominio: resultado «Dominio».
2. Consulte la IP en RIPEstat o en client.rdap.org. ¿Qué registro aparece como fuente?
Elija el registro que gestiona la IP; si no lo sabe, resultado «No lo sé».
RIPE NCC
En la consulta de la base de datos RIPE busque la línea «% Abuse contact for … is …» o el atributo abuse-mailbox del objeto al que remite abuse-c. También sirven el Abuse Finder y RIPEstat.
ARIN
En la búsqueda de ARIN busque OrgAbuseEmail (en WHOIS) o, en RDAP, la entidad con el rol abuse.
APNIC
En la consulta de APNIC siga el abuse-c hasta el objeto IRT y lea su abuse-mailbox; en RDAP, la entidad con el rol abuse.
LACNIC
En el RDAP de LACNIC busque la entidad con el rol abuse y su correo.
AFRINIC
En el WHOIS de AFRINIC busque abuse-c y el abuse-mailbox del objeto al que remite; si no figura, use el contacto técnico de la red.
No sabe qué registro gestiona la IP
client.rdap.org localiza solo el registro correcto: abra la entidad con el rol abuse. En AbuseIPDB puede ver si otros ya la han denunciado.
Dominio
En ICANN Lookup o DomainTools verá el registrador y su contacto de abuso. Para la IP del servidor, vuelva a la pregunta 2.
Adjunte solo las líneas de registro imprescindibles. Este es un ejemplo ficticio con direcciones del rango de documentación 198.51.100.0/24:
198.51.100.23 - - [01/Nov/2026:03:14:07 +0100] "POST /wp-login.php HTTP/1.1" 200 4521 "-" "Mozilla/5.0"
198.51.100.23 - - [01/Nov/2026:03:14:09 +0100] "POST /wp-login.php HTTP/1.1" 200 4521 "-" "Mozilla/5.0"
198.51.100.47 - - [01/Nov/2026:03:20:51 +0100] "POST /xmlrpc.php HTTP/1.1" 200 403 "-" "-"Y una plantilla de aviso, que puede enviar en inglés si el proveedor es extranjero:
Asunto: Abuse report – ataque desde 198.51.100.23 (ejemplo)
Hemos detectado intentos de acceso no autorizado a nuestro sitio
desde la IP 198.51.100.23, gestionada por su red.
Fechas y horas (UTC+01:00): 01/11/2026, de 03:14:07 a 03:20:51.
Adjuntamos las líneas de registro correspondientes.
Les rogamos que investiguen y detengan la actividad.
Se ha presentado denuncia ante las autoridades.8. Conclusión
Un hackeo web WordPress se previene con parches, PHP con soporte y pocas puertas abiertas. Cuando ocurre, hay que actuar en orden: contener, conservar pruebas, notificar a la AEPD si hay datos personales en riesgo, denunciar y reportar la IP al contacto de abuso. Las horas cuentan.
¿Ha sufrido un hackeo web WordPress?
Le ayudamos a valorar la notificación a la AEPD, preparar la denuncia y conservar las pruebas.
Consultar con GCLEXPreguntas frecuentes
¿Qué hago primero tras un hackeo web WordPress?
Aísle el sitio sin borrar nada, haga una copia de archivos, base de datos y registros con fecha y hora, y cambie todas las contraseñas. Después valore si hay datos personales afectados, notifique a la AEPD si procede, denuncie y reporte la IP de origen a su contacto de abuso.
¿Siempre hay que notificar la brecha a la AEPD en 72 horas?
No siempre. El artículo 33 del RGPD exige notificar sin dilación indebida y, de ser posible, en 72 horas, salvo que sea improbable que la brecha suponga un riesgo para las personas. Si se notifica tarde, hay que justificar el retraso. Toda brecha debe documentarse aunque no se notifique.
¿Es delito entrar en una web WordPress ajena?
Sí. El artículo 197 bis.1 del Código Penal castiga con prisión de seis meses a dos años el acceso no autorizado a un sistema vulnerando sus medidas de seguridad. Los daños a datos y la interrupción grave del sistema se castigan en los artículos 264 y 264 bis.
¿Dónde puedo denunciar un ataque informático?
Ante la Guardia Civil, en un puesto o mediante su formulario de ciberdelincuencia, ya que los delitos tecnológicos no se tramitan por e-denuncia, o ante la Policía Nacional en comisaría o por su oficina virtual, firmando después en comisaría. INCIBE ofrece orientación gratuita en el 017.
¿Cómo encuentro el correo de abuso de una IP?
Consulte la IP en RIPEstat o client.rdap.org para saber qué registro la gestiona. En RIPE busque la línea Abuse contact for o el abuse-mailbox; en ARIN, OrgAbuseEmail; en APNIC, LACNIC y AFRINIC, el abuse-c o la entidad RDAP con el rol abuse.
