Si tu web en WordPress usa formularios, merece la pena parar cinco minutos y revisar esto. Se ha publicado una vulnerabilidad de subida arbitraria de archivos en Forminator Forms, un plugin muy usado para formularios de contacto, encuestas, registros y captación de leads. Según el aviso, afecta a cientos de miles de instalaciones.
¿Significa esto que tu web está infectada? No necesariamente. Pero sí significa que, si tienes Forminator instalado y no lo has actualizado, conviene actuar hoy. En una pyme, un formulario parece una pieza pequeña: el contacto de la asesoría, la solicitud de cita de una clínica, el presupuesto de una empresa de reformas o el formulario de una tienda online. Pero si ese punto falla, puede abrir una puerta a archivos maliciosos, spam, redirecciones raras o incluso pérdida de confianza de tus clientes.
Vamos al grano: qué revisar, qué hacer y cómo evitar que un plugin vuelva a darte un susto parecido.
Qué ha pasado con Forminator y por qué te afecta
Forminator es un plugin de WordPress que permite crear formularios sin programar. Por eso está en muchas webs de pymes: es cómodo, rápido y suficiente para muchos casos. El problema aparece cuando una vulnerabilidad permite subir archivos de forma no controlada. En el peor escenario, un atacante podría intentar colar un archivo que no debería estar ahí.
Para una pyme española, el riesgo no está solo en la parte técnica. Está en lo operativo. Si tu formulario deja de funcionar, pierdes contactos. Si tu web redirige a sitios extraños, pierdes confianza. Si Google detecta malware, puedes acabar con avisos de seguridad en el navegador. Y si tratas datos personales, también tienes que pensar en protección de datos y en cómo documentas lo ocurrido.
Ejemplo concreto: una academia en Jerez usa un formulario para solicitudes de matrícula. Si la web se compromete justo antes de una campaña, el daño no es abstracto. Son llamadas, matrículas y reputación. Otro ejemplo: una clínica que recibe peticiones de cita desde WordPress. Si el formulario se manipula, puede afectar a la entrada de pacientes y a la gestión diaria.
Qué debes hacer hoy si tienes Forminator
La primera decisión no es instalar diez plugins de seguridad a la carrera. La primera decisión es comprobar si estás usando Forminator y en qué versión. Entra en tu panel de WordPress, ve a plugins instalados y busca Forminator. Si aparece, revisa si hay actualización disponible.
- Haz una copia de seguridad antes de tocar nada. Copia archivos y base de datos. Si algo se rompe al actualizar, necesitas poder volver atrás.
- Actualiza Forminator a la última versión disponible. Si el plugin tiene parche, aplícalo cuanto antes.
- Si no lo usas, desactívalo y elimínalo. Un plugin instalado por si acaso también puede ser una puerta abierta.
- Revisa los formularios con subida de archivos. Si permites adjuntar CV, imágenes, documentos o justificantes, limita extensiones y tamaño.
- Comprueba usuarios administradores. Si ves cuentas que no reconoces, toca investigar.
- Revisa archivos recientes. Especialmente en carpetas de subidas. Busca nombres extraños, archivos PHP donde no deberían estar o cambios recientes sin explicación.
Si tienes una tienda WooCommerce, no lo dejes para el viernes por la tarde. Actualiza en un momento de bajo tráfico y comprueba después compra, pago, emails y formularios. Si tienes una web corporativa más sencilla, el impacto suele ser menor, pero aun así conviene revisar que el formulario envía bien y que no se han cambiado destinatarios.
Cómo reducir el riesgo sin convertir tu web en un lío
La seguridad en WordPress no va de vivir con miedo. Va de tener una rutina sensata. Muchas pymes tienen webs que funcionan bien, pero nadie mira actualizaciones durante meses. Ahí empiezan los problemas.
Una rutina mínima sería esta: revisar actualizaciones una vez por semana, hacer copias automáticas, mantener solo plugins necesarios y comprobar que los formularios siguen llegando al correo correcto. No es glamuroso, pero funciona.
También ayuda separar responsabilidades. No uses el usuario administrador para todo. Si una persona solo publica noticias, que tenga perfil de editor. Si alguien solo revisa pedidos, que no tenga permisos para instalar plugins. Cuantos menos permisos tenga cada cuenta, menos daño puede hacer un fallo o una contraseña robada.
Otra medida práctica es usar un firewall de aplicación o una capa de seguridad en el hosting. No hace milagros, pero puede bloquear intentos comunes antes de que lleguen a WordPress. Y si tu web recibe formularios con archivos adjuntos, mejor revisar si realmente necesitas esa función. A veces es más seguro pedir que el documento se envíe por un canal controlado o limitarlo a PDF y JPG con tamaños razonables.
Ejemplo: una empresa de selección puede necesitar recibir CV. Perfecto, pero entonces debe tener reglas claras: solo PDF, máximo determinado peso, aviso legal correcto, almacenamiento limitado y revisión periódica. En cambio, una web de reformas que solo necesita nombre, teléfono y fotos de una avería puede usar un sistema más controlado o enviar las imágenes por otro flujo.
Cuándo pedir ayuda y qué debería revisar un técnico
Si no sabes si Forminator está instalado, si tu WordPress no se actualiza desde hace meses o si has visto comportamientos raros, pide ayuda. No hace falta dramatizar, pero tampoco conviene improvisar en producción.
Una revisión técnica razonable debería incluir actualización de núcleo, plugins y tema; copia de seguridad verificable; revisión de usuarios; análisis de archivos modificados; comprobación de formularios; revisión básica de logs; y limpieza de plugins abandonados. Si hay indicios de infección, hay que ir más despacio: clonar la web, comparar archivos, revisar tareas programadas, comprobar redirecciones y cambiar credenciales.
En nosolowebs solemos insistir en algo simple: una web no termina el día que se publica. No solo hacemos webs; también hay que mantenerlas vivas, rápidas y seguras. Para una pyme, esto no debería ser una carga enorme, sino un mantenimiento preventivo parecido al de cualquier herramienta de trabajo.
Si usas Forminator, el resumen es claro: comprueba versión, actualiza, revisa formularios con subida de archivos y elimina lo que no uses. Y después convierte esta revisión en rutina. La mayoría de problemas de seguridad en WordPress no empiezan por un ataque sofisticado, sino por un plugin olvidado, una copia que no existe o una contraseña compartida por media oficina.
Actuar hoy te puede ahorrar una web caída mañana. Y, sobre todo, te evita tener que explicar a tus clientes por qué el formulario de contacto acabó siendo el punto débil de tu negocio.
