WordPress Attack Report: 1,69 millones de ataques de mayo a julio de 2026
Entre el 1 de mayo y el 21 de julio de 2026, la red de ReportedIP registró 1 692 650 ataques desde 206 388 direcciones IP únicas. Este primer WordPress Attack Report trimestral muestra qué técnicas atacan con más frecuencia a los sitios WordPress y cómo apareció el exploit wp2shell en los datos.
El día con más actividad fue el 17 de junio de 2026, con 29 217 ataques. Todas las cifras proceden de los informes de la propia red y puedes citarlas libremente bajo licencia CC BY 4.0.
¿Cuántos ataques registró ReportedIP de mayo a julio de 2026?
La red contó 1 692 650 ataques en los 82 días que van del 1 de mayo al 21 de julio de 2026. Siete servidores honeypot, máquinas señuelo que imitan sitios WordPress, Drupal y Joomla, registraron 1 505 488 de ellos. Las claves API de los miembros informaron de otros 186 292, desde sitios WordPress con el plugin de seguridad Hive y desde integraciones de servidor. Los 870 restantes se importaron a mano.
- 1 692 650 ataques en total
- 206 388 direcciones IP atacantes únicas
- 29 217 ataques en el día de mayor actividad, el 17 de junio de 2026
- 20 642 ataques al día de media
En este informe, un ataque es un informe más las repeticiones agrupadas en él. Cuando la misma dirección vuelve a atacar el mismo objetivo poco después, la red conserva un solo informe y suma en él las repeticiones.
¿Subió o bajó el volumen de ataques entre mayo y julio de 2026?
El volumen de ataques se mantuvo alto y estable. En las once semanas completas de lunes a domingo entre el 4 de mayo y el 19 de julio, nunca bajó de 133 000 ataques por semana y alcanzó su máximo de 179 476 en la semana del 15 al 21 de junio. Esa semana también tuvo los dos días con más actividad: el 16 de junio con 28 117 ataques y el 17 de junio con 29 217.
Un fin de semana dentro de este periodo tiene su propio análisis. El 23 y 24 de mayo de 2026, la red contó 41 220 ataques en 37 288 informes de ataques desde 15 066 direcciones. El informe del fin de semana desglosa esos dos días por categoría y país.
¿Qué ataques sufren con más frecuencia los sitios WordPress?
La mayor parte del tráfico era genérico. 1 183 168 ataques llevaban la categoría Hacking y 246 620 la categoría general Brute-Force, y ambas atacan cualquier servicio expuesto. Entre las categorías de WordPress, la fuerza bruta contra el inicio de sesión en wp-login.php quedó muy por delante. Un informe puede llevar varias categorías, así que las filas se solapan.
| Categoría de ataque a WordPress | Ataques |
|---|---|
| Fuerza bruta contra el inicio de sesión | 130 856 |
| Fuerza bruta vía XML-RPC | 23 602 |
| Intentos de exploit contra plugins | 15 998 |
| Enumeración de usuarios | 13 768 |
| Archivos de configuración expuestos | 12 660 |
| Escaneo de plugins | 10 609 |
| Intentos de exploit contra el núcleo | 6 227 |
| Escaneo de versión | 5 737 |
El reconocimiento pesa mucho. La enumeración de usuarios, la búsqueda de archivos de configuración expuestos y el escaneo de plugins superaron cada uno los 10 000 ataques. Estas peticiones trazan el mapa del sitio para el siguiente paso: qué nombres de usuario existen, qué plugins están instalados y qué copias de seguridad hay a la vista.
¿Cómo apareció wp2shell en los datos?
wp2shell se hizo público el 17 de julio de 2026, el mismo día en que WordPress publicó la corrección en la versión 7.0.2. Es una cadena de ejecución remota de código sin autenticación en el núcleo de WordPress que combina una inyección SQL (CVE-2026-60137) con una confusión de rutas en las peticiones REST batch (CVE-2026-63030). El análisis técnico de Rapid7 describe la cadena en detalle. La CISA añadió ambos CVE a su catálogo de vulnerabilidades explotadas activamente el 21 de julio.
Los informes de la categoría de abuso de la API REST de WordPress aumentaron en torno a la publicación. Del 11 al 17 de julio, la red recibió entre 0 y 4 al día, y del 18 al 20 de julio, 8 al día. Las cifras absolutas son pequeñas, pero el salto empieza el día después de la divulgación.
Hive publicó dos reglas de firewall dos días después de la divulgación
El 19 de julio de 2026, Hive 2.1.25 añadió las reglas waf_rest_batch_desync y waf_rest_batch_nested a su Web Application Firewall. Ambas forman parte de la base gratuita Paranoia-Level-1, así que se aplican en todos los planes en cuanto un sitio usa Hive 2.1.25 o posterior. El paso de la cadena que crea un administrador depende de UNION SELECT, algo que la regla gratuita waf_sqli_union ya bloqueaba antes de esta versión.
Las dos reglas nuevas reconocen la forma de la petición batch malformada en lugar de una cadena fija. Las barras de más, las URL relativas al protocolo y las URL absolutas no pasan, y las llamadas batch normales sí. Una regla de firewall cubre el tiempo hasta que cada sitio tenga la actualización del núcleo. No sustituye al parche de WordPress.
El plan Professional añade los conjuntos de reglas avanzados
A una RCE como wp2shell suele seguirle la subida de una web shell. El plan Professional añade los conjuntos de reglas Paranoia-Level-2 y Level-3, incluido el grupo de web shells, mediante una sincronización de reglas firmada con Ed25519. Las instalaciones gratuitas reciben las reglas nuevas con cada versión del plugin, las instalaciones Professional en cuanto se publican.
¿Cómo se recogieron los datos?
Todas las cifras cuentan los informes de la base de datos de informes de ReportedIP del 1 de mayo al 21 de julio de 2026 (hora de Berlín), incluidas sus repeticiones. Las categorías siguen las 63 categorías de amenazas de la plataforma. Un informe contiene la IP del atacante, la categoría y la hora. Por defecto no se envían user agents, y ninguna cifra publicada identifica a quien informa.
Las cifras se contaron para la publicación del 23 de julio de 2026. Un nuevo recuento el 29 de septiembre de 2026 da 1 692 614 ataques desde 206 378 direcciones, porque desde entonces se han eliminado algunos registros.
Los mismos datos alimentan la Community Blacklist. Una dirección entra a partir de una puntuación de confianza del 75 %, cuando su informe más reciente tiene al menos 48 horas.
Reutilización y datos a medida
Todas las cifras y el gráfico de este informe tienen licencia CC BY 4.0. Puedes reutilizarlos en artículos, estudios o charlas con un enlace a reportedip.com. Para un periodo a medida, un desglose por países o una cita, escribe a Patrick Schlesinger a 1@reportedip.com. El archivo de informes está en la página Threat Reports.
¿Qué deben hacer los administradores de WordPress con estas cifras?
- Cuenta con una carga constante. Los ataques automatizados nunca bajaron de 133 000 por semana en este trimestre.
- Protege el inicio de sesión y XML-RPC. La fuerza bruta contra el inicio de sesión y vía XML-RPC encabeza las categorías de WordPress con 130 856 y 23 602 ataques.
- Cierra la ventana del parche con un firewall. wp2shell mostró la distancia entre la divulgación y la actualización del núcleo, y una regla de firewall la cubre.
- Mantén los plugins al día. Las reglas que frenan wp2shell existen desde Hive 2.1.25. Ver precios para la sincronización de reglas Professional.
Preguntas frecuentes
¿Cuántos ataques registró ReportedIP de mayo a julio de 2026?
ReportedIP registró 1 692 650 ataques desde 206 388 direcciones IP únicas entre el 1 de mayo y el 21 de julio de 2026. Los servidores honeypot registraron 1 505 488, y los sitios miembros y las integraciones de servidor informaron de 186 292. El día con más actividad fue el 17 de junio con 29 217 ataques, y la semana con más actividad fue la del 15 al 21 de junio.
¿Cuál fue el ataque más frecuente contra sitios WordPress?
La fuerza bruta contra el inicio de sesión en wp-login.php fue el ataque a WordPress más frecuente, con 130 856 ataques entre el 1 de mayo y el 21 de julio de 2026. Le siguieron la fuerza bruta vía XML-RPC con 23 602 y los intentos de exploit contra plugins con 15 998. La enumeración de usuarios, la búsqueda de archivos de configuración y el escaneo de plugins superaron cada uno los 10 000 ataques.
¿Estaban protegidos los sitios Hive gratuitos contra wp2shell?
Los sitios Hive gratuitos quedaron protegidos al actualizar a Hive 2.1.25, publicado el 19 de julio de 2026. Las dos reglas contra wp2shell forman parte de la base gratuita Paranoia-Level-1, que se incluye con el plugin en todos los planes. El firewall cubre el tiempo hasta tener el núcleo de WordPress parcheado, que sigue siendo la solución real.
Sigue leyendo
- Obtener Hive para WordPress: 16 sensores, el firewall y cuatro métodos 2FA en un solo plugin.
- wp2shell explicado: los dos fallos, la cadena y cómo bloquearla.
- Guía del servidor honeypot: ejecuta tu propio sensor y contribuye al próximo informe.