Alternativas a WordPress inspiradas en las vulnerabilidades de PHP
Compare si desea continuar con WordPress o pasar a un sitio estático o CMS administrado. Explicaremos el WAF, el formulario de consulta y los ejemplos de precios de Cloudflare para uso general y corporativo con ilustraciones.
Después de experimentar la respuesta a las vulnerabilidades de WordPress, algunas personas pueden preguntarse: "¿Podemos seguir operando con el mismo sistema?" Incluso si está buscando un nuevo destino, hay mucha terminología técnica y puede ser difícil entender qué cambiará.
Este artículo explica cómo continuar usando WordPress y cómo cambiar a un sistema diferente para las personas que administran blogs personales, sitios de pasatiempos y sitios corporativos. También introduciremos medidas de seguridad, formularios de contacto y pautas de precios al usar Cloudflare.
Salir de WordPress no es la respuesta para todos los sitios. Al clasificar las "funciones necesarias", la "persona que actualizará" y la "persona responsable del mantenimiento", podrá encontrar el método que más le convenga.
Este artículo es una comparación y una consideración de diseño basada en materiales oficiales. No presenta resultados reales del trabajo de migración, reproducción de ataques o reducción de costos.
El problema esta vez está en PHP, que es la base de WordPress.
WordPress es un software para publicar y administrar artículos. Uno de los mecanismos que soporta esta operación es PHP, que se ejecuta en el servidor.
En octubre de 2026, se anunciaron las siguientes vulnerabilidades graves en PHP. Una vulnerabilidad es una debilidad en el software que puede explotarse en un ataque.
- CVE-2026-109618:Cuando el procesamiento se interrumpe debido a una memoria insuficiente, el posprocesamiento maneja datos internos incompletos.
- CVE-2026-109619: Un problema donde la información interna que apunta a la memoria que se ha utilizado permanece y las solicitudes posteriores se refieren a la información anterior.
Las condiciones pueden permitir que terceros ejecuten código arbitrario en su servidor. Este es un problema independiente del propio WordPress, por lo que además de actualizar WordPress y los complementos, también debe buscar correcciones en el lado de PHP.
Las versiones en las que se proporcionó la solución por primera vez son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Consulte las instrucciones de su empresa de alojamiento o proveedor de sistema operativo para obtener soporte real. Además del número de versión, debe comprobar si el proveedor ha aplicado alguna corrección.
Referencia: IPA: Vulnerabilidades y contramedidas actuales de PHP / Oficial de PHP: OOM problema de procesamiento ／ Oficial de PHP: problema con el antiguo estado interno restante
Primero, verifique el estado de compatibilidad del servicio que está utilizando y aplique las correcciones necesarias. También se requiere investigación y recuperación si se sospecha una infracción. El simple hecho de pasar a otro servicio no significa que se haya resuelto la infracción existente.
Antes de buscar una alternativa, organice el estilo de redacción de su artículo y las características requeridas.
Con lo que me gustaría comenzar mi comparación es con cómo actualizo habitualmente. ¿Quieres escribir desde tu teléfono inteligente o puedes editar el archivo en tu computadora? ¿Necesita comentarios, registro de membresía y funciones de ventas? Sus opciones cambiarán en consecuencia.
Opción 1: Continuar con WordPress y revisar el mantenimiento
Si la pantalla de edición actual y las funciones le resultan cómodas de usar, tiene la opción de continuar. Los complementos son componentes que agregan funcionalidad. Decida quién estará a cargo de actualizar la unidad principal, los complementos, el tema y PHP, y el procedimiento para restaurar desde la copia de seguridad.
Al confiar el mantenimiento a una empresa de mantenimiento o a un servicio gestionado, verifique el alcance del trabajo, incluido si podrán solucionar los problemas de los complementos y la recuperación.
Referencia: guía de seguridad oficial de WordPress
Opción 2: utilizar un CMS administrado o un servicio de creación de sitios
CMS es un sistema que le permite crear y administrar artículos desde un navegador. Si se trata de un servicio gestionado, es posible que pueda dejar el mantenimiento de los servidores, etc., al operador. El alcance de la responsabilidad varía según el servicio.
Además de la pantalla de edición, la facilidad de uso en japonés, las funciones necesarias y los precios, comprobaremos si puede exportar artículos e imágenes y pasar a otro servicio. Aquí no clasificaremos servicios específicos en términos de seguridad.
Opción 3: convertirlo en un sitio estático
Un sitio estático es un método de distribución de páginas prediseñadas. Los sitios que publican principalmente texto e imágenes son candidatos. Por otro lado, la pantalla de publicación debe prepararse por separado.
Hay formas de editar directamente archivos de páginas llamados HTML, utilizar herramientas que generan páginas a partir de manuscritos y combinarlas con un CMS para editarlas. Cuanto más compenses la facilidad de actualización, más mecanismos tendrás que mantener.
Cloudflare tiene servicios para distribución de páginas y medidas de seguridad, pero simplemente seleccionar Páginas o Recursos estáticos de trabajadores no proporciona una pantalla de publicación como WordPress. "Cómo escribir artículos" y "dónde distribuir páginas" se consideran por separado.
| En lo que quiero centrarme | Dirección a considerar |
|---|---|
| ¿Quieres publicar fácilmente en tu teléfono inteligente o navegador? | CMS fácil de usar con pantalla de edición o continuación de WordPress |
| Quiero que varias personas editen y aprueben | CMS con funciones de gestión y aprobación de permisos |
| Principalmente texto e imágenes, y también se pueden editar archivos. | HTML estático o herramienta de generación de páginas |
| Se requiere membresía/pago/historial de compras | Considere incluir servicios dedicados y procesamiento dinámico |
Reduzca los ataques por adelantado con WAF de Cloudflare
Cloudflare tiene un WAF que inspecciona las comunicaciones sospechosas antes del sitio. Desempeña un papel similar al de seguridad en un mostrador de recepción y puede bloquear comunicaciones que se parezcan a ataques conocidos y restringir el acceso por fuente o número de veces que se envía.
Free tiene reglas para algunas amenazas, y Pro y superiores tienen una gama más amplia de reglas administradas. Las reglas administradas son reglas de juicio preparadas y actualizadas por Cloudflare. Las contramedidas DDoS son contramedidas contra ataques que inutilizan un sitio debido a una gran cantidad de tráfico.
También se han hecho públicas las reglas de protección para esta vulnerabilidad de PHP. Sin embargo, existen condiciones de aplicación que dependen de la configuración y es una contramedida contra ataques conocidos. No es posible concluir que si usa Cloudflare, no necesita actualizar PHP.
Referencia: Comparación de funciones WAF / Contramedidas y condiciones de WAF para esta vulnerabilidad de PHP
Si el servidor original está ubicado por separado, también se requieren medidas para evitar eludir el WAF accediendo directamente a ese servidor. Incluso para sitios estáticos, tenga en cuenta cuestiones como el secuestro de cuentas públicas, problemas con servicios externos y envíos de formularios no solicitados.
Simplemente haga una consulta y deje que Cloudflare se encargue de ello.
Esto no significa que no puedas realizar consultas en un sitio estático. La página permanece estática y puede agregar procesamiento solo a la parte que acepta consultas.
Workers es un servicio que ejecuta pequeños programas como la recepción de formularios en Cloudflare. Turnstile es un mecanismo para reducir el envío de bots y el Servicio de correo electrónico es responsable de enviar correos electrónicos de notificación.
Enviar un correo electrónico es gratis si solo desea notificar a una dirección de administrador verificada. Para responder automáticamente a quienes realizan consultas, utilice Envío de correo electrónico y Trabajadores pagados, que se pueden enviar a cualquier destinatario. El envío de correo electrónico está en versión beta en el momento de la confirmación de la información.
Enrutamiento de correo electrónico es un servicio que reenvía correos electrónicos dirigidos a su propio dominio a su bandeja de entrada existente. No proporciona una bandeja de entrada per se para leer correos electrónicos. Además, notificar al administrador desde un formulario y reenviar correos electrónicos a su propio dominio son funciones independientes.
Para evitar perder consultas, también diseñamos guías en caso de falla de transmisión, manejo de retransmisiones y confirmación de recepción. También es importante no pedir demasiada información confidencial en un formulario y decidir dónde guardarla, quién puede verla y durante cuánto tiempo se conservará. Si tiene un servicio de correo electrónico existente, asegúrese de no cambiar accidentalmente la configuración de DNS que determina los destinatarios.
Turnstile requiere JavaScript en su navegador. Le proporcionaremos métodos de contacto alternativos para que pueda comunicarse con nosotros incluso si la solicitud no es válida o la transmisión falla. El texto del sitio y la tabla de contenido se pueden separar del formulario y configurar para que sean legibles en HTML normal.
Referencia: Cómo validar Turnstile / Descripción general del servicio de correo electrónico / Configurar el reenvío de correo electrónico
¿Cuánto cuesta para uso general/uso corporativo?
El siguiente es un ejemplo de configuración que supone un sitio estático con un dominio y un pequeño formulario de consulta. No incluye servicios adicionales como pantalla de publicación de CMS, funciones de membresía/pago, almacenamiento de archivos adjuntos, monitoreo/reenvío. Si desea conservar WordPress, deberá pagar el servidor por separado.
Los montos están en dólares estadounidenses al 25 de octubre de 2026. No se incluyen impuestos, tipos de cambio, adquisición y renovación de dominios únicos, bandejas de entrada y costos laborales de producción y mantenimiento. Piense en ello como "tarifa mensual mínima + monto más allá del uso incluido".
Uso general: si solo desea notificar al administrador, comience con el nivel gratuito.
Para blogs personales, sitios de pasatiempos, etc., sería bueno poder ver las consultas en su propia bandeja de entrada. No habrá respuesta automática y el resultado de la transmisión se mostrará en la pantalla.
| Propósito | Que usar | Cuota mensual estimada |
|---|---|---|
| Entrega de página | Pages／Workers Static Assets | $0 |
| Medidas de seguridad en la entrada | Plan gratuito de sitio web | $0 |
| Medidas anti-bots | Turnstile Free | $0 |
| recepción de consultas | Workers Free | $0 (dentro del nivel gratuito) |
| Notificación de administrador | Enviar a destino confirmado | $0 |
| Total aproximado | $0 (nivel gratuito/limitado) | |
Que el nivel gratuito sea suficiente depende no sólo del número de accesos, sino también del tiempo de procesamiento y la implementación. Incluso si el correo electrónico de notificación al administrador es gratuito, existen otras restricciones en la ejecución del programa de recepción.
Uso corporativo: agregue respuesta automática y WAF pago
Este es un ejemplo de cómo devolver un correo electrónico de recepción al solicitante y utilizar reglas WAF más amplias. Esto no significa que necesariamente necesites este plan solo por ser una empresa. Elija según la función del sitio y el impacto de la interrupción.
| Propósito | Que usar | Pago mensual estimado |
|---|---|---|
| Entrega de página | Pages／Workers Static Assets | $0 |
| WAF pagado, etc. | Plan profesional del sitio web | $25 |
| Medidas anti-bots | Turnstile Free | $0 |
| Recepción/Respuesta automática | Workers Paid＋Email Sending | Mínimo $5 |
| Notificación de administrador | Enviar a destino confirmado | $0 |
| Total aproximado | Mínimo $30/mes + exceso de uso | |
Workers Paid incluye una asignación mensual para el envío de correos electrónicos de 3000 correos electrónicos con un precio base de $5 al mes como mínimo. El excedente es de $0,35 por cada 1000 correos electrónicos. Los envíos a administradores confirmados no se incluyen en este marco. Como el reenvío y otros fines también utilizan la cuota de envío, no hay garantía de que podamos recibir 3000 consultas.
Comparación incluyendo pago anual y Negocios
| Ejemplo de configuración | Cuota mensual básica | Conversión mensual para el plan de sitio web pagado anualmente |
|---|---|---|
| Uso general: Gratis + Trabajadores Gratis | $0 (dentro del nivel gratuito) | $0 (dentro del nivel gratuito) |
| Agregar respuesta automática: Gratis + Trabajadores Pagados | Mínimo $5 | Mínimo $5 |
| Ejemplo de uso corporativo: Pro+Workers Paid | Mínimo $30 | Valor mínimo de $25 |
| Si los requisitos son estrictos: Empresas + Trabajadores Pagados | Mínimo $255 | Valor mínimo de $205 |
Los pagos anuales para Pro son de $240 al año y los pagos anuales para Business son de $2400 al año. Un mínimo de $5/mes para los trabajadores y el exceso de uso se cobrarán por separado. Este no es un contrato en el que usted paga cada mes el monto equivalente mensual que se muestra en la tabla.
Las empresas tienen un SLA (acuerdo contractual sobre tiempo de actividad) para los planes de sitios web, pero esto no garantiza todo el sistema, incluido el procesamiento de formularios y la entrega de correo electrónico. Si el funcionamiento continuo es importante, evalúe la detección de fallas, la recuperación de fallas y el manejo de las funciones beta.
Workers Paid es un plan para la ejecución de programas, etc. Pro/Business es un plan para sitios web como WAF. Incluso si se suscribe a Workers Paid, el WAF pagado no se adjunta automáticamente.
Las solicitudes de archivos estáticos son gratuitas e ilimitadas, pero existen restricciones en cuanto a la cantidad de archivos, la capacidad, etc. Se supone que WAF está configurado en una ruta aplicable, como el propio dominio del objetivo, y se debe tener cuidado al acceder desde otra URL pública.
Antes de migrar, verifique si habrá algún problema antes de considerar el precio.
Si actualizar cada vez se convierte en una carga después de la migración, será difícil seguir usando el sitio. Creemos que es una buena idea intentar publicar y publicar primero una pequeña cantidad de artículos.
- Actualización:¿Puede el responsable escribir el artículo, añadir imágenes y publicarlo?
- Página existente:¿Se puede mantener la URL anterior? Si quiero cambiarlo, ¿puedo ser guiado/redireccionado desde la URL anterior?
- Funciones adjuntas:Cómo trasladar comentarios, búsqueda, categorías, RSS, formularios, etc.
- Recuperación:Si publicas contenido incorrecto, ¿puedes volver al estado anterior?
- Exportar: ¿Se pueden realizar copias de seguridad de artículos e imágenes y moverlos a otro lugar en el futuro?
- Administración:¿Pueden varias personas administrar la cuenta? ¿Puedo configurar la autenticación multifactor?
También existe una manera de seguir usando WordPress y configurar un sistema de mantenimiento. Puede dejar esto en manos de un servicio administrado o puede hacer que la parte de publicación sea estática. Me gustaría seleccionar la configuración que se adapte a mi sitio verificando las funciones necesarias y el alcance de las actualizaciones y el mantenimiento continuos.
La ilustración es un diagrama explicativo creado para este artículo. Los precios y condiciones de prestación están sujetos a cambios.