Si tu web está hecha con WordPress y usa formularios de contacto, reservas, presupuestos o encuestas, esto te interesa. Se ha informado de una vulnerabilidad de subida arbitraria de archivos en Forminator Forms, un plugin muy usado para crear formularios en WordPress. Traducido: en determinadas condiciones, un atacante podría intentar subir archivos que no debería a tu servidor.
Para una pyme, esto no es una noticia técnica más. Un formulario suele estar en zonas sensibles de la web: contacto, solicitudes de presupuesto, captación de candidatos, reservas de citas, inscripción a cursos o soporte. Si falla esa puerta de entrada, el problema puede ir desde spam y redirecciones raras hasta una web caída o infectada.
No hace falta entrar en pánico, pero sí actuar con orden. No solo hacemos webs: una web de empresa necesita mantenimiento, copias, control de plugins y revisiones periódicas. Aquí tienes una guía clara para saber qué revisar hoy mismo.
Qué ha pasado con Forminator y por qué te afecta
Forminator es un plugin de WordPress que permite crear formularios sin programar. Lo usan muchas empresas porque resuelve tareas habituales: un formulario de contacto, una encuesta de satisfacción, una calculadora sencilla, una inscripción a evento o una solicitud de cita.
El problema comunicado está relacionado con una vulnerabilidad de subida arbitraria de archivos. Esto significa que, si una web tiene una versión vulnerable y una configuración concreta, alguien podría intentar subir al servidor archivos no permitidos. En WordPress, este tipo de fallo es delicado porque el servidor no debería aceptar cualquier archivo desde un formulario público.
Piensa en estos casos:
- Una clínica dental que permite adjuntar documentación antes de una primera visita.
- Una academia que recibe currículums de profesores colaboradores.
- Un restaurante que usa un formulario para eventos privados y permite adjuntar menús o propuestas.
- Una empresa de reformas que recibe fotos de viviendas para preparar presupuestos.
En todos esos ejemplos hay una función útil: adjuntar archivos. Pero también hay riesgo si el plugin, la configuración o el servidor no limitan bien qué se puede subir.
Cómo saber si tu web puede estar en riesgo
Empieza por lo básico. Entra en el panel de WordPress y revisa si tienes instalado Forminator. Lo encontrarás normalmente en Plugins o en el menú lateral si está activo.
Después comprueba tres cosas:
- Versión instalada: si el plugin tiene una actualización pendiente, aplícala cuanto antes, preferiblemente después de hacer copia de seguridad.
- Formularios con subida de archivos: revisa si algún formulario permite adjuntar documentos, imágenes, PDFs, currículums o cualquier otro archivo.
- Usuarios administradores: comprueba que no haya cuentas desconocidas o antiguas con permisos altos.
Si no tienes claro qué versión es segura, no improvises tocando archivos a mano. Actualiza desde el panel oficial de WordPress o pide una revisión técnica. Muchas incidencias no vienen solo del fallo inicial, sino de soluciones rápidas mal aplicadas: borrar carpetas sin copia, cambiar permisos a lo loco o instalar tres plugins de seguridad que se pisan entre sí.
Qué debes hacer hoy, paso a paso
Si usas Forminator en una web de empresa, este sería un plan razonable para actuar sin romper nada.
1. Haz una copia de seguridad completa
Antes de actualizar, crea una copia de la base de datos y de los archivos. No sirve solo exportar entradas o páginas. Necesitas una copia que permita restaurar la web si algo falla. En una tienda online, una academia con inscripciones o una web con reservas, esto es todavía más importante.
2. Actualiza Forminator y el resto de plugins
Actualiza Forminator a la versión corregida disponible en tu panel. Ya que estás, revisa también WordPress, el tema y otros plugins. Una web rara vez se compromete por una sola pieza: muchas veces el riesgo aparece por una combinación de versiones antiguas, permisos flojos y plugins abandonados.
3. Revisa los formularios con adjuntos
En cada formulario que permita subir archivos, limita tipos y tamaños. Por ejemplo, si solo necesitas recibir CVs, acepta PDF y quizá DOCX, pero no archivos ejecutables, comprimidos o formatos que no necesitas. Si una empresa de reformas solo necesita fotos, limita a JPG, PNG o HEIC si procede, con un tamaño máximo razonable.
Además, muestra un mensaje claro al usuario. Algo tan simple como adjunta solo imágenes o PDF, máximo 5 MB ayuda a reducir errores y envíos innecesarios.
4. Revisa archivos recientes del servidor
Si tienes acceso técnico, comprueba si han aparecido archivos extraños en carpetas de subidas. Nombres raros, extensiones poco habituales o archivos PHP dentro de carpetas de medios son señales que conviene revisar. Si no sabes interpretarlo, mejor no borrar a ciegas: documenta lo que ves y consulta.
5. Cambia contraseñas y revisa usuarios
Cambia la contraseña de administradores y elimina usuarios que ya no deberían entrar. Es común encontrar cuentas de antiguos proveedores, becarios, campañas pasadas o pruebas internas. Si una cuenta no se usa, fuera. Si una persona solo necesita editar contenidos, no debería ser administradora.
Cómo evitar que vuelva a pillarte por sorpresa
La seguridad en WordPress no va de instalar un plugin y olvidarse. Va de tener una rutina sencilla. Para una pyme, lo importante es que esa rutina sea realista y se pueda cumplir.
- Actualizaciones programadas: revisa WordPress, plugins y tema al menos una vez al mes. En webs críticas, más a menudo.
- Copias automáticas: guarda copias fuera del mismo servidor. Si el servidor cae o se infecta, una copia en el mismo sitio puede no servirte.
- Menos plugins: cada plugin añade mantenimiento. Si no se usa, desinstálalo.
- Formularios revisados: no aceptes archivos si no es necesario. Si lo es, limita formatos, tamaño y destino.
- Accesos controlados: usa contraseñas largas y activa doble factor cuando sea posible.
- Monitorización básica: recibe avisos si la web cae, si cambia un archivo crítico o si aparece una actualización sensible.
Un ejemplo práctico: una pyme de Jerez que recibe presupuestos desde la web puede tener un formulario simple, sin adjuntos, y pedir que las fotos se envíen después desde un canal controlado. Otra opción es permitir imágenes, pero con tamaño máximo, almacenamiento separado y revisión periódica. No hay una única respuesta; depende de cómo trabaja tu empresa.
Lo importante es no dejar la web en modo piloto automático. WordPress es una herramienta flexible, pero esa flexibilidad necesita mantenimiento. Si Forminator forma parte de tu web, revisa hoy la versión, actualiza, mira los formularios con subida de archivos y asegúrate de tener copias recuperables.
Y si tu web lleva meses sin mantenimiento, este aviso puede servirte como excusa útil para ordenar la casa: menos plugins, más control y una rutina que no dependa de acordarte cuando ya hay un problema.
