Más del 70 % de los sitios WordPress públicamente accesibles que muestran información de versión están ejecutando versiones de PHP obsoletas o sin soporte, lo que aumenta de forma significativa su exposición a ciberataques. Así lo refleja un análisis de Censys, que pone el foco en una brecha de seguridad persistente dentro del ecosistema web global.
El dato resulta especialmente relevante porque WordPress sigue siendo el gestor de contenidos más utilizado del mundo. Según la investigación, en junio de 2026 existían más de 59 millones de instancias de WordPress visibles públicamente. De ellas, Censys analizó más de 316.500 despliegues con datos visibles sobre versiones de WordPress y PHP.
Los resultados muestran una diferencia clara entre la actualización del gestor de contenidos y la del entorno que lo sostiene. Mientras una parte de los administradores mantiene WordPress relativamente actualizado, la capa de PHP queda con frecuencia relegada a un segundo plano.
PHP, el punto débil olvidado en muchas instalaciones
PHP es el lenguaje sobre el que se ejecuta WordPress y buena parte de sus temas y plugins. Por tanto, una versión obsoleta no solo afecta al servidor, sino a toda la pila de la aplicación.
El estudio indica que solo el 30 % de los sitios observados utiliza una versión de PHP con soporte. La mayoría sigue funcionando sobre versiones antiguas, como PHP 7.4, que llegó al final de su vida útil en noviembre de 2022.
Esto significa que esos entornos ya no reciben actualizaciones de seguridad oficiales. Cualquier vulnerabilidad descubierta en esas versiones puede quedar sin parche, convirtiéndose en una oportunidad para atacantes que buscan comprometer sitios de forma masiva.
La situación contrasta con la actualización del propio WordPress. Alrededor del 31 % de los sitios analizados ejecuta versiones soportadas del CMS y un 14 % está en la última versión. Aunque estas cifras también muestran margen de mejora, evidencian que muchos administradores priorizan las actualizaciones visibles del gestor de contenidos mientras descuidan el runtime de PHP.
Por qué las organizaciones retrasan las actualizaciones
Actualizar PHP puede resultar más complejo que instalar una nueva versión de WordPress. Muchos propietarios de sitios temen que el cambio rompa funcionalidades, deje plugins incompatibles o provoque errores en temas personalizados.
El modelo de actualización de PHP está pensado para transiciones progresivas entre versiones. Cuando una organización acumula varios años de retraso, el salto puede requerir pruebas, ajustes de código, revisión de dependencias y cambios en la configuración del servidor.
Ese esfuerzo operativo explica que muchos entornos permanezcan indefinidamente en versiones antiguas. Sin embargo, aplazar la migración convierte el sitio en un objetivo más fácil, especialmente cuando los atacantes automatizan el escaneo de internet en busca de instalaciones vulnerables.
En la práctica, una versión de PHP sin soporte puede ser tan peligrosa como un plugin desactualizado o una contraseña débil.
Los plugins amplían la superficie de ataque
El problema se agrava por la fuerte dependencia del ecosistema WordPress de los plugins. Censys señala que casi 7,5 millones de sitios utilizan extensiones, algunas de ellas instaladas en millones de páginas.
Sin embargo, las prácticas de actualización son irregulares. En el caso de Yoast SEO, uno de los plugins más populares, menos del 22 % de los usuarios estaría ejecutando la última versión.
Los plugins pueden introducir vulnerabilidades críticas, fallos de autenticación, exposición de datos o errores que permitan ejecución de código. Además, el ecosistema también ha sido utilizado en ataques de cadena de suministro, actualizaciones maliciosas y clones fraudulentos de herramientas legítimas.
Cuando se combinan una versión antigua de PHP, plugins sin parchear y configuraciones débiles, el riesgo se multiplica.
Campañas de bajo nivel con impacto masivo
Las consecuencias de esta falta de higiene de seguridad se observan en campañas activas como “Hacked By MR.GREEN”, una operación de defacement que lleva activa desde al menos 2020 y que ha comprometido más de 900 sitios, principalmente despliegues basados en WordPress.
Este tipo de ataques no siempre busca robar datos o obtener beneficio económico directo. En muchos casos, el objetivo es modificar la página visible, sustituir el contenido por una firma del atacante y demostrar que el sitio ha sido comprometido.
Aunque se trata de campañas de baja sofisticación, su impacto puede ser amplio cuando encuentran miles de sitios mal mantenidos.
Los atacantes suelen aprovechar software desactualizado, endpoints expuestos como xmlrpc.php, scripts de instalación accesibles públicamente o servicios SSH mal protegidos. La actividad de escaneo contra interfaces XML-RPC de WordPress sigue siendo constante, lo que confirma que los ciberdelincuentes continúan explotando debilidades conocidas.
