Alternativas a WordPress: ¿necesita tu negocio una web que no haya que parchear?

El aviso de PHP del 21 de octubre, explicado sin tecnicismos

El 21 de octubre de 2026, PHP publicó una versión de urgencia. PHP es el lenguaje con el que funcionan WordPress y la mayoría de webs con panel de administración. Es el programa que, en el servidor, monta cada página en el momento en que alguien la visita.

Esa versión corrige dos fallos críticos, el CVE-2026-109618 y el CVE-2026-109619, con una gravedad de 9,2 sobre 10 en la escala CVSS 4.0. Los dos permiten ejecutar código en el servidor sin contraseña. Dicho llano: que un desconocido dé órdenes a la máquina donde está tu web.

• Versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
• Ramas 8.1, 8.0 y 7.4: no tienen versión nueva, solo un parche de código.
• ¿Se está aprovechando ya? Las fuentes no coinciden. watchTowr dice que sí; otras fuentes que han analizado el aviso dicen que no estaba confirmado.

El fallo es de PHP, no de WordPress. Pero afecta a casi cualquier WordPress cuyo servidor no se haya actualizado, porque WordPress no funciona sin PHP. Y el botón de «actualizar» de tu panel no lo arregla: la versión de PHP depende de la empresa que te aloja la web.

Si tienes WordPress, esto es lo que conviene hacer ahora

1. Pregunta a tu empresa de alojamiento, o a quien te lleve la web, qué versión de PHP usa tu servidor.
2. Si está en la rama 8.5, 8.4, 8.3 u 8.2, pide que te confirmen que ya tienes la 8.5.12, la 8.4.27, la 8.3.36 o la 8.2.35.
3. Si está en la 8.1, la 8.0 o la 7.4, pregunta si han aplicado el parche de código. Como en esas ramas no hay versión corregida, plantéate pasar a una más reciente, comprobando antes que tu tema y tus plugins la aguantan.
4. Aprovecha para actualizar WordPress, el tema y los plugins, con una copia de seguridad hecha antes.

Esto es lo que supone tener una web con PHP: cada cierto tiempo sale un aviso así y alguien tiene que reaccionar. No eres el único que se lo pregunta. Según Google Ads, en España, «seguridad WordPress» y «actualizar WordPress» se buscan 50 veces al mes cada una, y «alternativas a WordPress», 90 (media de los últimos 12 meses, medida el 21/10/2026).

Qué es una web estática

Piensa en un WordPress como una imprenta que imprime el folleto cada vez que alguien lo pide. Para hacerlo necesita tres piezas: PHP, que hace el trabajo; una base de datos, donde se guardan los textos; y los plugins, piezas de otros fabricantes que añaden funciones. Las tres hay que tenerlas al día.

Una web estática es el folleto ya impreso. Las páginas se preparan una vez y se entregan tal cual a quien las visita. No hay nada que se monte en el momento, así que:

• Sin PHP: el aviso del 21 de octubre no va con ella.
• Sin base de datos: no hay un almacén de datos que alguien pueda manipular desde la web.
• Sin plugins: no hay piezas de terceros que se queden viejas o que abandone su autor.
• Sin panel con contraseña en la propia web: no hay una puerta de acceso que probar a fuerza de intentos.

Lo que gana tu negocio es sencillo: nada que actualizar, páginas que cargan rápido y menos sustos con cada aviso de seguridad.

Una duda frecuente es si «estática» significa que no se puede cambiar. No: se puede cambiar cuando quieras. La diferencia es que el cambio se hace en el origen y la página se vuelve a publicar ya hecha, en lugar de guardarse en una base de datos. Lo que conviene preguntar a quien te la haga es quién hace esos cambios y cuánto tardan.

Ninguna web es invulnerable: lo que cambia son las puertas

Una web estática no es a prueba de todo. Lo que desaparece son las puertas por las que entran casi todos los ataques a webs de negocio: el servidor con PHP sin actualizar, los plugins y el panel con contraseña.

Siguen quedando cosas que cuidar, tengas la web que tengas: la cuenta donde está registrado tu dominio, tu correo y las contraseñas de quien gestiona todo eso. Activa la verificación en dos pasos en esas cuentas. Es de lo más eficaz que puedes hacer, y se activa en pocos minutos.

Las webs de Nombrada están hechas de esta forma: se sirven ya preparadas desde Cloudflare, sin PHP, sin base de datos y sin plugins. Con el aviso del 21 de octubre no había nada que parchear en ellas. Eso no las vuelve invulnerables, pero sí deja fuera las entradas que acabamos de ver.

¿Y la velocidad? Diez webs medidas con PageSpeed Insights

Estas son las notas en móvil de webs de ejemplo con su nota de velocidad, medidas con PageSpeed Insights de Google sobre la web publicada. Cualquiera puede repetir la medida con la misma dirección. Los diez negocios no existen: son muestras que preparó nuestra fábrica, no clientes.

Un matiz importante: esta tabla no es una comparación con WordPress. Prueba que estas diez webs cargan rápido, no que lo hagan solo por ser estáticas. Un WordPress bien optimizado también puede sacar buena nota. Lo que ocurre es que una página que no se monta en cada visita parte con ventaja, y no necesita plugins de caché ni ajustes para conseguirlo.

Si tu negocio se parece a alguno de estos, hay más muestras en webs para reformas y construcción y en webs para hoteles y casas rurales.

Las alternativas a WordPress, por tipos

Más que una lista de marcas, te sirve saber qué tipo de herramienta encaja contigo y quién se ocupa de la seguridad en cada caso.

Cuándo WordPress sí tiene sentido

WordPress es una buena herramienta y en muchos casos es la opción adecuada:

• Quieres tocarlo todo tú, desde un panel, cuando te apetezca.
• Vas a montar una tienda online grande, con muchos productos, pasarela de pago y gestión de envíos.
• Necesitas muchas funciones a medida: áreas privadas para clientes, reservas complejas, conexiones con tu programa de gestión.
• Tienes un equipo o una persona que lo mantiene y reacciona el día que sale un aviso como el de PHP.

En esos casos el problema no es WordPress: es dejarlo sin mantener. Si vas a quedarte con él, en Mantenimiento de una página web: qué incluye, cuánto cuesta y qué no deberías pagar tienes desglosadas las tareas que no pueden faltar y los cobros que puedes ahorrarte.

Lo que cuenta para que te encuentren en Google y en la IA

A Google le da igual con qué esté construida tu web. En su guía oficial para webmasters explica que aparecer en sus respuestas con IA (los AI Overviews y el Modo IA) se trabaja con el mismo SEO de siempre. Un llms.txt no le sirve porque no lo lee, tampoco existe un schema pensado para su IA, y no hace falta trocear los textos ni crear una página por cada forma de buscar lo mismo. Esto último, si se hace para manipular el ranking, Google lo considera abuso de contenido a escala.

Lo que pide es poder rastrear e indexar tus páginas y que el contenido sea útil, original y fiable para las personas. En la parte técnica, una web estática cumple igual que un WordPress bien configurado. El resto depende de lo que pongas: una página que dice «servicios de calidad» no ayuda a nadie; una que explica qué haces, en qué barrios trabajas, cuánto tardas y cuánto cuesta, sí.

Una advertencia que vale para cualquier proveedor: nadie puede garantizarte un puesto en Google ni que ChatGPT o la respuesta que Google pone arriba te mencionen. Las guías de la Búsqueda de Google son la fuente para comprobar lo que te cuenten.

Cómo decidir: cinco preguntas antes de elegir

1. ¿Quieres cambiar tú la web a menudo desde un panel? Si la respuesta es sí, un gestor o un constructor de webs te encajará mejor.
2. ¿Vendes por internet con catálogo y envíos? Entonces mira plataformas de tienda o un WordPress con alguien que lo mantenga.
3. ¿Quién va a actualizar el PHP, el tema y los plugins? Si no tienes nombre para esa pregunta, una web sin esas piezas te quita el problema.
4. ¿Qué necesitas que haga la web? Si es explicar tus servicios, que te encuentren en tu zona y que te llamen o te escriban, una web estática basta.
5. ¿Cuánto vas a pagar cada año, y por qué? Pide el precio de hacerla y el de mantenerla por separado, y si hay permanencia.

Si te ves en la cuarta pregunta, puedes ver la primera página de tu web, gratis y sin tarjeta. La preparamos con lo que nos cuentas en un formulario sobre tu negocio y con las búsquedas reales de tu zona, y tú no tienes que diseñar nada. Si te convence, hacer la web cuesta 49 € (pago único) y la tienes completa en menos de 24 horas. Después eliges plan: Tu web, por 190 € al año o 19 € al mes, publicada en una dirección nuestra y sin trabajo para salir en Google ni en la IA; o Tu web + clientes de Google y la IA, por 490 € al año o 49 € al mes, con dominio propio (gratis en el plan anual; 10 € al año en el mensual), trabajo cada mes para Google y para la IA e informe el día 1. Con ese plan anual, los 49 € de hacer la web se descuentan.

Todos los precios son sin IVA y no hay permanencia. Si estás comparando presupuestos, aquí tienes más sobre páginas web económicas, con el mantenimiento incluido.

Escrito con IA a partir de datos medidos por Nombrada.