--- title: "Vulnerabilidades de All in One SEO y Bricksforge: qué actualizar primero" description: "Bricksforge necesita la 4.0.1 o posterior y All in One SEO la 5.0.2.1 o posterior. Actualice Bricksforge primero y luego revise usuarios, archivos y redirecciones en busca de daños." url: "https://webleveling.com/es/blog/vulnerabilidades-de-bricksforge-y-all-in-one-seo/" lang: "es" published: "2026-10-12" modified: "2026-10-13" author: "Cal Hewitt" tags: ["website-security","wordpress","website-maintenance"] image: "https://webleveling.com/og/blog-bricksforge-all-in-one-seo-wordpress-flaws.jpg" alternates: en: "https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws.md" --- # Vulnerabilidades de All in One SEO y Bricksforge: qué actualizar primero Bricksforge necesita la 4.0.1 o posterior y All in One SEO la 5.0.2.1 o posterior. Actualice Bricksforge primero y luego revise usuarios, archivos y redirecciones en busca de daños. ![Un juego pequeño de destornilladores y un candado cerrado sobre un paño doblado en una mesa de trabajo.](https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws/bricksforge-aioseo-update-featured.jpg) Usted leyó que los atacantes van tras un complemento para Bricks y que un complemento de SEO muy popular tiene dos vulnerabilidades, y necesita saber esta noche si su sitio está expuesto. En resumen: abra la pantalla Plugins (complementos) de WordPress, busque Bricksforge y All in One SEO, y anote el número de versión junto a cada uno. Bricksforge va primero, porque tiene la vulnerabilidad más grave. Los registros de las vulnerabilidades de All in One SEO son menos graves, pero están corregidos en una versión que se instala en minutos. Actualizar cierra el agujero; no le dice si alguien lo aprovechó antes, por eso conviene una revisión breve de daños justo después de la actualización. No hace falta un desarrollador si su sitio está al día, tiene copia de seguridad y funciona con normalidad. Sí necesita revisarlo hoy y no la próxima semana. **Puntos clave** **Actualice Bricksforge primero** Instale Bricksforge 4.0.1 o posterior. Su vulnerabilidad de subida de archivos CVE-2026-85097 tiene una calificación de 9.8 de 10 y permite que un visitante sin autenticación ejecute código en el servidor en las versiones hasta la 3.1.8.9 incluida. **Luego All in One SEO** Instale la 5.0.2.1 o posterior. Cubre las dos vulnerabilidades de octubre, que tienen calificación media y requisitos previos distintos. **Actualizar no es el final del trabajo** Revise usuarios, la carpeta uploads, los archivos modificados, las redirecciones y Search Console después de la actualización, porque un parche no elimina nada que ya haya sido plantado. ## ¿Qué debe actualizar primero y a qué versión? Empiece con una revisión de diez minutos a su sitio. En WordPress, abra Plugins (complementos) y luego Installed Plugins (complementos instalados), y busque «Bricksforge» y «All in One SEO». Anote si cada uno está activo, inactivo o no aparece, y escriba la versión. Si un complemento no está ahí, déjelo así; no hay razón para instalar ninguno de los dos solo para probar su sitio. Revise en la misma pantalla si hay actualizaciones pendientes de WordPress, de su tema y de otros complementos. Haga una copia de seguridad antes de cambiar algo, con la herramienta de respaldo de su hosting o con un complemento de respaldo en el que ya confíe, y siga los pasos de la [guía de WordPress para administrar complementos](https://wordpress.org/documentation/article/managing-plugins/) si todavía no ha actualizado uno a mano. ![Una laptop cerrada junto a un bloc de notas en blanco y un lápiz sobre un escritorio de madera lisa.](https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws/plugin-version-notepad.jpg) Anote la versión de cada complemento antes de tocar nada. Estas son las versiones afectadas y las corregidas al 12 de octubre de 2026. Qué versiones instalar | Complemento | La vulnerabilidad | Versiones afectadas | Instalar | | --- | --- | --- | --- | | Bricksforge | CVE-2026-85097, subida arbitraria de archivos sin autenticación (CVSS 9.8, crítica) | 3.1.8.9 y anteriores | 4.0.1 o posterior | | Bricksforge | Problema de seguridad en la subida de archivos de Pro Forms, corregido el 8 de octubre de 2026 | Todo sitio con Pro Forms activo, según el proveedor | 4.0.1 o posterior | | All in One SEO | CVE-2026-85492, cross-site scripting basado en DOM (CVSS 6.1, media) | 5.0.1.1 y anteriores | 5.0.2 o posterior | | All in One SEO | CVE-2026-19856, ejecución arbitraria de shortcodes (CVSS 6.5, media) | Antes de 5.0.2.1 | 5.0.2.1 o posterior | Bricksforge es un complemento de pago para el constructor Bricks, así que si la actualización no aparece en su pantalla de Plugins, descárguela desde su cuenta de Bricksforge. En All in One SEO, la 5.0.2.1 o cualquier versión posterior cubre ambos registros; la versión que aparecía en su [registro de cambios](https://aioseo.com/changelog/) el 6 de octubre era la 5.0.3. **Actualización del 13 de octubre de 2026:** Bricksforge lanzó la 4.0.2 un día después de la fecha de esta entrada. El [registro de cambios](https://bricksforge.io/version-changelog/) del proveedor dice que la verificación de subida añadida en la 4.0.1 rechazaba aproximadamente una imagen normal de cada sesenta, lo que la 4.0.2 corrige sin dejar de rechazar los archivos que contienen código, y que la 4.0.2 también endurece varios de los otros puntos de acceso (endpoints) del complemento. Si lee esto después de esa fecha, instale la 4.0.2 o posterior. El proveedor también sugiere renovar, en su servicio, cualquier clave de API guardada en los ajustes de herramientas de Bricksforge, como precaución. ## ¿Qué tan grave es la vulnerabilidad de Bricksforge para su sitio? Lo bastante grave como para atenderla primero. El [registro CVE de CVE-2026-85097](https://nvd.nist.gov/vuln/detail/CVE-2026-85097) se publicó el 8 de octubre de 2026 y describe una subida arbitraria de archivos sin autenticación en las versiones hasta la 3.1.8.9 incluida. «Unauthenticated» (sin autenticación) quiere decir que la persona no necesita iniciar sesión. Según el registro, un atacante puede pedir al sitio un token de seguridad válido, subir un archivo que parece una imagen inofensiva pero que también contiene código PHP, y luego enviar un formulario de forma que el servidor ejecute ese código. El código que corre en su servidor puede crear usuarios, cambiar archivos o enviar spam, por eso el registro lo califica con 9.8 de 10. Algunos titulares dicen 10.0. El registro dice 9.8, y esa es la cifra que hay que usar. El número importa menos que lo que significa para usted: si su sitio tenía Bricksforge 3.1.8.9 o anterior con el complemento activo, considérelo expuesto. El registro de cambios del proveedor añade un punto que sorprende a mucha gente. La versión 4.0.1, lanzada el 8 de octubre de 2026, incluye una corrección de seguridad para la subida de archivos de Pro Forms, y el registro dice que afecta a todo sitio con Pro Forms activo, incluidos los sitios cuyos formularios no tienen campo de subida. Así que, la pregunta no es «¿mis formularios aceptan archivos?». Es «¿Pro Forms está activado?». La misma entrada señala que CVE-2026-85097 se corrigió antes, en la 3.1.8.10 y en la 4.0.0, y que la 4.0.1 es la versión que contiene la corrección más reciente de subida de archivos. Patchstack, una empresa de seguridad para WordPress, marca esta vulnerabilidad como «Known to be exploited» (conocida como explotada) en su [aviso sobre Bricksforge](https://patchstack.com/database/wordpress/plugin/bricksforge/vulnerability/wordpress-bricksforge-plugin-3-1-8-9-unauthenticated-arbitrary-file-upload-via-temporaryfileuploads-parameter-vulnerability), la califica con 10 de 10 y enumera la 3.1.8.10 como versión corregida. Esté o no su sitio en la mira, un sitio que corría una versión afectada antes de actualizar merece la revisión de daños de más abajo. Bricksforge es un complemento, no parte de WordPress en sí, y es independiente del tema Bricks, así que un sitio que usa Bricks sin Bricksforge no está cubierto por estos registros. ![Un formulario en blanco doblado y una pequeña llave metálica sobre un estante de madera.](https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws/pro-forms-active-check-form.jpg) La función Pro Forms, no un campo de subida, decide si la corrección del proveedor le aplica. ## ¿Qué significan para usted las dos vulnerabilidades de All in One SEO? Son reales, están corregidas y son menos urgentes que la vulnerabilidad de Bricksforge. Ambas se publicaron el 2 de octubre de 2026, y se diferencian en lo que necesita un atacante. [CVE-2026-85492](https://nvd.nist.gov/vuln/detail/CVE-2026-85492) es una vulnerabilidad de cross-site scripting basada en DOM en las versiones hasta la 5.0.1.1 incluida, con calificación de 6.1. El atacante no necesita una cuenta, pero el daño solo ocurre cuando alguien que tiene la capacidad de administrar el SEO del complemento, normalmente un administrador, abre el panel SEO Preview (vista previa de SEO) mientras visita una página con una dirección con trampa. Se corrigió en la 5.0.2, lanzada el 22 de septiembre de 2026. [CVE-2026-19856](https://www.cve.org/CVERecord?id=CVE-2026-19856) es una vulnerabilidad de ejecución de shortcodes en las versiones anteriores a la 5.0.2.1, con calificación de 6.5. Un visitante sin inicio de sesión puede hacer que el sitio ejecute shortcodes que otros complementos han registrado, mediante una consulta de búsqueda. El registro añade que, en los sitios actualizados desde versiones anteriores, la protección está desactivada por completo, así que no hace falta una entrada manipulada. La [entrada de WPScan](https://wpscan.com/vulnerability/e35365d3-65de-45a7-9629-17aacd5299c7/) recoge la misma descripción. La corrección llegó con la 5.0.2.1 el 1 de octubre de 2026, que el registro de cambios describe como mejores protecciones de seguridad para shortcodes en las páginas de búsqueda. ![Una pequeña pila de fichas en blanco sujetas con un clip metálico junto a un lápiz sobre un escritorio.](https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws/aioseo-fixed-versions-cards.jpg) Dos registros, dos versiones corregidas. Instalar la 5.0.2.1 o posterior cubre ambos. Una calificación media no es una invitación a esperar. La vulnerabilidad de shortcodes no necesita inicio de sesión, y lo que puede hacer depende de qué otros complementos haya en su sitio. Instálela junto con el resto de las actualizaciones. ## ¿Cómo revisa su sitio en busca de daños después de actualizar? Un parche detiene al siguiente atacante. No elimina un archivo o una cuenta que alguien ya haya dejado, así que la revisión de abajo es lo que le dice si su sitio está limpio. La [guía de WordPress.org para un sitio hackeado](https://wordpress.org/documentation/article/faq-my-site-was-hacked/) y su [guía de endurecimiento de seguridad](https://developer.wordpress.org/advanced-administration/security/hardening/) cubren el mismo terreno con más profundidad. Trabaje en estos puntos en orden, y deténgase y pida ayuda si encuentra algo que no reconoce: - **Usuarios**: Abra Users (Usuarios) y busque cuentas de administrador que usted no creó, o cuentas recientes con nombres o correos extraños. - **Carpeta uploads**: Revise el directorio uploads, desde el administrador de archivos de su hosting, en busca de archivos que terminen en .php. Las carpetas de imágenes no deberían tener ninguno. - **Archivos modificados**: Pida a su hosting una lista de los archivos modificados en las últimas dos semanas, o use un escáner como [Wordfence](https://www.wordfence.com/help/scan/), y busque temas o complementos que usted no haya tocado. - **Redirecciones y páginas**: Visite su sitio desde un teléfono, desde un resultado de búsqueda, y haga clic por el sitio. Busque redirecciones a direcciones extrañas, ventanas emergentes o páginas que usted nunca escribió. - **Search Console**: Revise si hay advertencias de seguridad, páginas de spam y direcciones indexadas que no reconoce. - **Credenciales**: Si algo parece mal, cambie sus contraseñas de WordPress, de hosting, de la base de datos y de FTP, y cualquier clave de API que guarde el sitio. Un escaneo de seguridad es útil, pero puede pasar por alto cambios en la base de datos o en el servidor, así que un escaneo limpio es una buena señal y no una garantía. Si encuentra una cuenta de administrador desconocida o un archivo PHP en la carpeta uploads, guarde una copia de los registros y una copia de seguridad, restrinja el acceso y pida a su hosting o a un profesional de seguridad que compare sus archivos y su base de datos con una copia limpia. Nuestra guía de las [primeras 24 horas después de un sitio web hackeado](https://webleveling.com/es/blog/hackearon-mi-sitio-web-que-hacer/) explica los pasos en el orden en que conviene darlos. ![Un pequeño candado sobre un llavero junto a una lista de verificación en blanco sobre un escritorio.](https://webleveling.com/blog/bricksforge-all-in-one-seo-wordpress-flaws/damage-check-keys-padlock.jpg) Actualizar cierra la puerta. La revisión le dice si alguien ya está adentro. ## ¿En qué se diferencian expuesto, explotado y comprometido? Son tres preguntas distintas, y confundirlas es lo que hace que la gente entre en pánico o se confíe demasiado pronto. Expuesto significa que su sitio tenía una versión afectada. Explotado significa que los atacantes han usado la vulnerabilidad en algún lugar. Comprometido significa que alguien entró en su sitio en particular. En el caso de Bricksforge, estuvo expuesto si tenía la 3.1.8.9 o anterior con el complemento activo, o cualquier versión anterior a la 4.0.1 con Pro Forms activo. En el caso de All in One SEO, estuvo expuesto con la 5.0.1.1 o anterior para el primer registro, y con cualquier versión anterior a la 5.0.2.1 para el segundo. Estar expuesto por sí solo no significa que lo hayan atacado. Una puntuación de severidad alta tampoco demuestra que su sitio fue víctima; mide lo que un atacante podría hacer. Solo sus propios usuarios, archivos, registros y Search Console pueden decir si fue comprometido, y eso es lo que revisa la lista de arriba. Si estuvo expuesto, anote qué versiones tenía y la fecha en que actualizó. Su hosting puede guardar los registros por un tiempo limitado, así que pídalos pronto si sospecha un problema. ## ¿Puede manejarlo usted mismo o debe pedir ayuda? Si puede iniciar sesión en WordPress, normalmente puede hacer esto usted mismo. Revise las dos versiones, actualice, pruebe su página de inicio, su formulario de contacto, el inicio de sesión y la búsqueda, y haga la revisión de daños. Un sitio al día y con copia de seguridad, que funciona con normalidad y no muestra nada extraño, no necesita una reconstrucción ni una limpieza de pago. La ayuda pagada tiene sentido en algunas situaciones: no puede acceder a su cuenta de Bricksforge, administra varios sitios y no puede estar seguro de que cada uno se actualizó, sus copias de seguridad faltan o nunca se probaron, o la revisión de daños encontró algo raro. En esos casos, una [auditoría de seguridad del sitio web](https://webleveling.com/es/servicios/auditoria-de-seguridad-web/) compara sus archivos y su base de datos con una copia limpia, y el [mantenimiento de sitios web](https://webleveling.com/es/servicios/mantenimiento-de-sitios-web/) continuo pone a una persona específica a cargo de las actualizaciones, para que un aviso como este se atienda el día en que aparece. La rutina general para esto está en nuestras guías sobre [cómo revisar sus complementos de WordPress en busca de actualizaciones urgentes de seguridad](https://webleveling.com/es/blog/revisar-plugins-de-wordpress-actualizaciones-de-seguridad/) y sobre [las advertencias recurrentes de vulnerabilidades en complementos](https://webleveling.com/es/blog/alerta-de-vulnerabilidad-de-plugin-de-wordpress/). Cuando una vulnerabilidad afecta a un complemento de formularios, la pregunta es la misma: qué versión, qué corrección. Nuestra entrada sobre la [vulnerabilidad de Ninja Forms](https://webleveling.com/es/blog/vulnerabilidad-ninja-forms-wordpress/) recorre ese caso. ## ¿Un sitio sin complementos de terceros evitaría esto? Evitaría este tipo de aviso. Un sitio construido sin complementos de terceros no tiene un Bricksforge ni un All in One SEO que parchar, y eso elimina una de las tareas rutinarias de tener un sitio de WordPress. Web Leveling construye [sitios a la medida sin complementos de terceros](https://webleveling.com/es/servicios/diseno-web/), codificados a mano para que los formularios, las etiquetas de SEO y todo lo demás sean parte del sitio que usted posee. No elimina el resto del trabajo. Todo sitio sigue necesitando hosting, copias de seguridad, control de acceso y alguien que lo vigile, y un sitio sin complementos no es una promesa de cero mantenimiento. WordPress sigue siendo una opción sensata para un sitio que usted mantiene al día; esta es una alternativa para cuando prefiera no cargar con la tarea de las actualizaciones. **Cuestionario: ¿Está cubierto su sitio?** 1. ¿Cuál es la versión mínima de Bricksforge que hay que instalar al 12 de octubre de 2026? - 3.1.8.9 - 3.1.8.10 - 4.0.1 **(respuesta correcta)** - 4.0.0 2. Usted actualizó los dos complementos. ¿Qué debe hacer después? - Nada, porque la actualización elimina cualquier archivo plantado - Revisar usuarios, la carpeta uploads, los archivos modificados, las redirecciones y Search Console **(respuesta correcta)** - Borrar WordPress y empezar de nuevo - Esperar un mes a ver si pasa algo 3. ¿Qué significa «unauthenticated» (sin autenticación) en CVE-2026-85097? - El atacante necesita un inicio de sesión de administrador - El atacante no necesita iniciar sesión **(respuesta correcta)** - El complemento no tiene licencia - El sitio no usa contraseña ## Preguntas frecuentes sobre la vulnerabilidad de All in One SEO **¿Qué versión de All in One SEO debo instalar?** Instale la 5.0.2.1 o posterior. Incluye la corrección de la vulnerabilidad de shortcodes (CVE-2026-19856) y la corrección anterior, de la 5.0.2, para la vulnerabilidad de cross-site scripting (CVE-2026-85492). El registro de cambios mostraba la 5.0.3 el 6 de octubre de 2026. **¿La vulnerabilidad de Bricksforge afecta a formularios sin campos de subida?** Sí, según el proveedor. El registro de cambios de la versión 4.0.1 dice que la corrección afecta a todo sitio con Pro Forms activo, incluidos los sitios cuyos formularios no tienen campos de subida. **¿Se puede aprovechar la vulnerabilidad de shortcodes de All in One SEO sin iniciar sesión?** Sí. El registro de CVE-2026-19856 la describe como explotable por usuarios sin autenticación a través de una consulta de búsqueda. En los sitios actualizados desde versiones anteriores, la protección está desactivada, así que ni siquiera hace falta una petición manipulada. **¿WordPress en sí está afectado?** No. Estos registros describen dos complementos de terceros, no el núcleo de WordPress. Mantenga el núcleo actualizado también, pero no es el producto que nombran. **¿Toda vulnerabilidad tiene un número CVE?** No. La corrección de seguridad 4.0.1 de Bricksforge aparece en el registro de cambios del proveedor sin número CVE. Cuando lea un registro de cambios, lea las notas de la corrección y no espere a que aparezca un CVE antes de actualizar. **¿Cómo reviso mi sitio de WordPress en busca de vulnerabilidades conocidas en sus complementos?** Haga una lista de cada complemento y su versión, busque cada uno en una base de datos de vulnerabilidades, como [Patchstack](https://patchstack.com/database/) o el registro de cambios del propio complemento, y actualice cualquiera que esté por debajo de una versión corregida. Repítalo después de cada nuevo aviso. ## La conclusión Revise Bricksforge y All in One SEO en su pantalla de Plugins hoy mismo. Instale primero Bricksforge 4.0.1 o posterior, luego All in One SEO 5.0.2.1 o posterior, haga una copia de seguridad antes de empezar y ejecute la revisión de daños después. Mantenga separados expuesto, explotado y comprometido, y deje que sus propios usuarios, archivos y registros respondan a la última. Una vulnerabilidad corregida sigue abierta en cualquier sitio que no haya instalado la corrección, y ese es el sitio que recibe sus contactos. Una rutina corta de revisar las versiones cada vez que aparece un aviso evita que eso pase mientras use WordPress. Si quiere que alguien se haga cargo de esas revisiones, [Web Leveling](https://webleveling.com/es/) puede encargarse de las actualizaciones y de una revisión de daños por medio del [mantenimiento de sitios web](https://webleveling.com/es/servicios/mantenimiento-de-sitios-web/), o ayudarle a planear un sitio con menos partes que parchar. Díganos qué complementos usa en nuestra [página de contacto](https://webleveling.com/es/contacto/) y podemos seguir desde ahí. Trabajamos con pequeñas y medianas empresas de todo el país y del extranjero. ## Términos Palabras usadas en este artículo Toque un término para ver qué significa. **CVE.** Un número de identificación público para una vulnerabilidad de seguridad específica, como CVE-2026-85097. **CVSS.** Una puntuación de 0 a 10 que califica qué tan grave podría ser una vulnerabilidad; mide el potencial, no si un sitio fue atacado. **Sin autenticación.** Que se puede hacer sin iniciar sesión. **Subida arbitraria de archivos.** Una vulnerabilidad que permite a un atacante colocar en un servidor un archivo de su elección. **Cross-site scripting.** Una vulnerabilidad que permite a un atacante ejecutar un script en la sesión de navegador de otro usuario. **Shortcode.** Una etiqueta pequeña entre corchetes que hace que WordPress ejecute una función de un complemento dentro de una página. - [Vulnerabilidad de Ninja Forms: revise su versión y actualice hoy](https://webleveling.com/es/blog/vulnerabilidad-ninja-forms-wordpress/): Vulnerabilidad de Ninja Forms: abra Plugins, lea su versión, saque una copia de seguridad y actualice. Vea qué versión corrige cada fallo y el complemento File Uploads. - [Revise su hosting de WordPress frente a la falla de imágenes HEIC](https://webleveling.com/es/blog/vulnerabilidad-heic-de-wordpress-revise-su-hosting/): Una revisión de diez minutos para la vulnerabilidad HEIC de WordPress: qué muestra Salud del sitio, qué preguntarle a su hosting y quién debería poder subir archivos. - [Cómo revisar los plugins de WordPress en busca de actualizaciones de seguridad](https://webleveling.com/es/blog/revisar-plugins-de-wordpress-actualizaciones-de-seguridad/): Haga la revisión de seguridad de sus plugins de WordPress en unos diez minutos: liste cada plugin, compare versiones con los avisos, respalde, actualice sin riesgo y reconozca las señales de alerta.