Un titular de seguridad sobre plugins de calendario suele aparecer en el peor momento, mientras su sitio sigue recibiendo reservas y usted no puede saber si el plugin que está detrás de ellas figura en la lista. Una vulnerabilidad de plugin de calendario en WordPress afecta a su sitio solo cuando este usa uno de los plugins señalados, o una extensión relacionada que sea vulnerable, en una versión anterior a la corregida.
La revisión toma unos minutos. Abra Complementos (Plugins) en su panel, lea el número de versión junto a cada plugin de calendario, de eventos o de reservas, y compárelo con la versión corregida de ese plugin.
Una versión anterior significa que su sitio está expuesto a una falla documentada. Si alguien aprovechó esa falla es otra pregunta, y solo uno de los cuatro plugins de esta nota tiene un aviso marcado como explotado. Mantenga separadas la exposición, la explotación y el compromiso confirmado, y los siguientes pasos se vuelven mucho más claros.
Puntos clave
Abra Complementos, anote la versión de cada plugin de calendario, eventos, reservas, citas, inscripciones y entradas, y compárela con su versión corregida.
CVE-2026-78159 es una ejecución remota de código sin autenticación, con una puntuación CVSS de 9.8, corregida en la versión 6.17.3.1, y Patchstack la marca como «Known to be exploited» (conocida como explotada).
Booking Calendar, Events Manager y Eventin tienen cada uno un aviso con CVSS 5.3 y una versión corregida, publicados entre el 5 y el 13 de octubre de 2026.
Haga una copia de seguridad, actualice, pruebe las reservas y luego revise usuarios y reservas, porque una actualización por sí sola no demuestra que nadie llegó al sitio.
Sepa en minutos si su plugin de calendario ya tiene una corrección disponible
Cuatro plugins de calendario, eventos y reservas tienen un aviso publicado con número CVE desde el 11 de septiembre de 2026. Busque su plugin en la tabla y luego compare la versión instalada en la pantalla de Complementos con la columna «Corregida en». Un sitio está afectado cuando su versión cae dentro del rango afectado.
| Plugin | CVE | Gravedad y falla | Versiones afectadas | Corregida en | Publicado |
|---|---|---|---|---|---|
| The Events Calendar | CVE-2026-78159 | CVSS 9.8, ejecución remota de código sin autenticación | Hasta 6.17.3 | 6.17.3.1 | 11 de septiembre de 2026 |
| Booking Calendar | CVE-2026-18496 | CVSS 5.3, exposición de datos sensibles sin autenticación | Hasta 11.4.3 | 11.5 | 9 de octubre de 2026 |
| Events Manager | CVE-2026-105068 | CVSS 5.3, exposición de información sin autenticación | Hasta 7.4.5 | 7.4.6 | 5 de octubre de 2026 |
| Eventin (listado por Patchstack como WP Event Solution) | CVE-2026-109898 | CVSS 5.3, control de acceso roto sin autenticación | Hasta 4.1.25 | 4.1.26 | 13 de octubre de 2026 |
El aviso que hay que atender primero es el de The Events Calendar. El aviso de Patchstack para CVE-2026-78159 describe una ejecución remota de código sin autenticación, lo que significa que un visitante sin cuenta podría ejecutar código en su servidor. Marca la falla como «Known to be exploited» (conocida como explotada) y dice que hay que actualizar a la versión 6.17.3.1 o posterior.
Patchstack mantiene una lista actualizada de cada vulnerabilidad de The Events Calendar, y los registros de Eventin aparecen bajo el nombre WP Event Solution. Revise ambas listas para el plugin exacto que usa, ya que una extensión premium puede tener su propio número de versión.
Atienda primero la alerta correcta y use bien su tiempo
Los cuatro avisos no pesan lo mismo, y tratarlos igual le hace perder tiempo que necesita para el que sí importa. La falla de The Events Calendar no requiere inicio de sesión, ejecuta código en el servidor y se reporta como explotada. Eso la pone por delante de todo lo demás en su lista de esta noche.
El CVE-2026-18496 de Booking Calendar expone datos sensibles sin necesidad de inicio de sesión, y está corregido en la versión 11.5. Patchstack suele calificar sus avisos de Booking Calendar como de prioridad baja, y las fallas del plugin han ido desde exposición de datos y fallas de control de acceso hasta scripting entre sitios (XSS) reflejado y una condición de carrera. La prioridad baja es una razón para programar la actualización, no para omitirla.
El CVE-2026-105068 de Events Manager es una exposición de información corregida en la versión 7.4.6, y la página de Patchstack para Events Manager 7.4.5 la lista como exposición de datos sensibles. El CVE-2026-109898 de Eventin es un control de acceso roto corregido en la versión 4.1.26, lo que significa que una función que debería verificar quién hace la solicitud no lo hace.
Avance a la versión actual en lugar de detenerse en la versión mínima corregida. WordPress.org lista The Events Calendar en 6.18.2, Events Manager en 7.4.10, Booking Calendar en 11.9.1 y Eventin en 4.1.28 al 24 de octubre de 2026. La página de The Events Calendar en WordPress.org registra refuerzos de seguridad en 6.17.3.1, 6.17.4.1 y 6.17.5.1, así que un sitio que se detuvo en la primera corrección tiene cambios posteriores que aplicar. Booking Calendar y Eventin también tienen otros avisos de 2026.
Estos plugins están muy extendidos. WordPress.org indica unas 600,000 instalaciones activas para The Events Calendar, 60,000 para Events Manager, 40,000 para Booking Calendar y 10,000 para Eventin, y los cuatro muestran actualizaciones recientes. Que estén activos y mantenidos es la razón por la que existe una versión corregida. Eso no protege a un sitio que no la ha instalado.
Actualice sin romper la página de reservas que usan sus clientes
La rutina es corta, y usted puede hacerla toda por su cuenta. El orden importa, porque una copia de seguridad tomada después de la actualización no sirve para deshacer una mala actualización. Si administra varios sitios o pierde la pista de lo que cambió, nuestra guía sobre revisar los plugins de WordPress en busca de actualizaciones de seguridad urgentes cubre el hábito de revisar toda la lista de plugins.
- Encuentre cada candidato: En Complementos, luego en Complementos instalados (Installed Plugins), busque calendario, eventos, reservas, citas, inscripciones y entradas, y anote cada nombre y versión.
- Compare con la versión corregida: Use las versiones corregidas de la tabla y la página del propio plugin para ver si su número es más antiguo.
- Haga una copia de seguridad del sitio: Tome una copia actual de los archivos y de la base de datos antes de tocar nada.
- Actualice el plugin y sus extensiones: Actualice el plugin principal y luego cualquier extensión o versión premium del mismo proveedor.
- Pruebe el recorrido del cliente: Cargue la página del calendario, una página de evento, el formulario de inscripción, el flujo de pago y el correo de confirmación.
La documentación de WordPress sobre administración de plugins explica cómo actualizar desde la pantalla de Complementos y cómo revisar la compatibilidad. Si no está seguro de tener una copia de seguridad limpia, cómo hacer una copia de seguridad de un sitio web de una pequeña empresa muestra lo que debe contener una copia útil.
Pruebe con una reserva real desde un teléfono, no solo con una mirada rápida al calendario. Un calendario puede verse bien mientras un correo de confirmación deja de enviarse o un paso del pago falla, y usted quiere encontrarlo antes que un cliente.
La guía de endurecimiento de WordPress recomienda a los dueños de sitios: «make sure your plugins are always updated» (asegúrese de que sus plugins siempre estén actualizados) y «if you are not using a specific plugin, delete it from the system» (si no usa un plugin específico, elimínelo del sistema). Dos plugins de calendario en un mismo sitio, con uno de ellos desactivado, es el resto más común. Confirme que nada en sus páginas o en sus reservas depende de él y luego elimínelo.
Siga recibiendo reservas con seguridad mientras la actualización espera
A veces la actualización no puede aplicarse esta noche. El sitio puede tener una integración personalizada, una actualización fallida la vez anterior o ninguna copia de prueba (staging) donde probarla. En ese caso, el objetivo es reducir la exposición hasta que alguien pueda aplicar la corrección como corresponde.
Pause las partes públicas del plugin de calendario: el envío de eventos en el sitio, las inscripciones abiertas y la recepción de reservas en línea, si puede aceptar esas reservas por teléfono o correo durante un día. La falla de The Events Calendar no requiere inicio de sesión, así que una puerta pública abierta es el riesgo que importa.
Luego pida a su proveedor de hosting o a su desarrollador que apliquen la actualización y que revisen los registros del servidor. Deles el nombre del plugin, la versión instalada y la versión corregida de la tabla, para que no tengan que adivinar. Las páginas de avisos de Patchstack recomiendan actualizar de inmediato y, en algunos casos, ofrecen reglas de mitigación temporal mientras espera.
Si su proveedor de hosting administra las actualizaciones, pregunte si el plugin de calendario está incluido, porque algunos planes de hosting cubren WordPress como núcleo pero no los plugins de terceros. Una nota reciente sobre qué revisar en su hosting de WordPress después de una falla de software enumera las preguntas que debe plantearles.
Averigüe si alguien entró antes de que actualizara
Una actualización cierra la brecha a partir de ahora. No demuestra que nadie haya usado esa brecha antes. En The Events Calendar, donde Patchstack informa explotación, vale la pena revisar los días entre el 11 de septiembre y su actualización. Para los otros tres, una revisión rápida tiene sentido, pero entrar en pánico no.
Empiece por las cuentas. La documentación de WordPress sobre roles y capacidades explica que los administradores pueden instalar, actualizar y eliminar plugins, mientras que editores, autores, colaboradores y suscriptores tienen permisos más limitados. Elimine a los antiguos empleados y contratistas, quite cualquier rol superior al que la persona necesita y busque cuentas de administrador que no reconozca.
Luego revise el contenido. Busque en los eventos y reservas recientes algo que usted no creó, enlaces raros en las descripciones de eventos y páginas nuevas que usted no publicó. Los registros de su hosting pueden mostrar solicitudes inusuales al plugin de calendario alrededor de la fecha del aviso, y esa es la parte en la que le ayuda un desarrollador.
Si encuentra alguna señal de compromiso, conserve lo que tenga, restaure solo desde una copia de seguridad que sepa que está limpia, actualice el plugin antes de que el sitio vuelva a ser público y cambie cada contraseña de administrador y del hosting. Una restauración desde una copia antigua puede devolver la versión vulnerable del plugin, así que actualice justo después. Nuestro recorrido por las primeras 24 horas después de que un sitio web es hackeado cubre esa secuencia en orden.
Un plugin vulnerable en un servidor desactualizado suma dos problemas, así que pregunte a su proveedor al mismo tiempo si ya aplicó la actualización de seguridad crítica de PHP.
Decida si lo arregla usted mismo o lo delega
Puede hacer usted mismo la revisión de versión y la actualización. Para un sitio sencillo con una copia de seguridad actual, un plugin de calendario y unos cuantos administradores, eso es un trabajo de diez minutos más las pruebas, y no se necesita una auditoría.
Pagar por el mantenimiento de sitios web o por una revisión de seguridad se justifica en situaciones concretas: el sitio recibe reservas pagadas, usa integraciones personalizadas o extensiones premium, no tiene una copia de seguridad actual, nadie puede decir quién tiene acceso, una actualización anterior falló, ve cualquier señal de compromiso o no hay una copia de prueba (staging) donde probar. En esos casos, un error cuesta más que la ayuda.
Lo que aporta una revisión no es un número de versión secreto, que cualquiera puede leer en la pantalla de Complementos. Es una revisión de toda la familia de plugins, una actualización segura que mantiene funcionando el camino de las reservas y un análisis de si el sitio fue modificado mientras estaba expuesto. Esa es la parte que es difícil de hacer a partir de un titular.
Repaso rápido: ¿tiene resuelto su plugin de calendario?
Elija una respuesta para empezar.
1. ¿Qué versión de The Events Calendar corrige CVE-2026-78159?
2. ¿Cuál de los cuatro plugins tiene un aviso que Patchstack marca como «Known to be exploited» (conocida como explotada)?
3. Actualizó el plugin y las reservas funcionan. ¿Qué le dice eso?
Preguntas frecuentes sobre las vulnerabilidades de plugins de calendario de WordPress
¿Cómo reviso si mi plugin de calendario está afectado?
Abra Complementos en WordPress, busque el plugin de calendario, de eventos o de reservas, y compare su versión instalada con el rango afectado y la versión corregida de ese plugin. Una versión igual o anterior al número afectado necesita actualización.
¿Qué debo actualizar primero?
The Events Calendar, si lo usa. CVE-2026-78159 es una ejecución remota de código sin autenticación con CVSS 9.8, corregida en la versión 6.17.3.1, y Patchstack la marca como conocida como explotada. Después actualice Booking Calendar, Events Manager y Eventin, según corresponda a cada uno.
¿Debo desactivar las reservas?
Pause los envíos públicos y la recepción de reservas en línea solo si un plugin vulnerable no puede actualizarse de inmediato. Cuando la versión corregida esté instalada y probada, vuelva a activarlos.
¿Una vulnerabilidad prueba que hackearon mi sitio?
No. Muestra exposición a una falla documentada. Revise las cuentas de administrador, las reservas recientes, los archivos y los registros para juzgar si algo fue usado.
¿Puedo eliminar un plugin de calendario que ya no uso?
Sí, después de confirmar que ninguna página, reserva, pago o extensión depende de él. Desactívelo primero, haga una copia de seguridad del sitio y luego elimínelo.
¿Qué versión de Booking Calendar es segura?
CVE-2026-18496 afecta las versiones hasta la 11.4.3 y está corregido en la 11.5. WordPress.org lista la 11.9.1 como la actual, así que actualice a la última versión en lugar de detenerse en la 11.5.
Para seguir adelante
Revise la versión de cada plugin de calendario, de eventos y de reservas que usa, compárela con su versión corregida, haga una copia de seguridad del sitio, actualice y pruebe el camino de las reservas. The Events Calendar va primero porque CVE-2026-78159 no requiere autenticación, tiene una calificación CVSS de 9.8 y se reporta como explotada. Booking Calendar, Events Manager y Eventin van después, cada uno con una versión corregida publicada en octubre de 2026.
Una rutina corta como esta también hace más fácil leer el próximo aviso de seguridad. Sabrá qué plugins usa, quién tiene acceso, dónde está la copia de seguridad y cómo probar una reserva, así que un titular se convierte en una revisión de diez minutos y no en una preocupación a medianoche.
Si prefiere que alguien confirme todo, Web Leveling puede hacer una auditoría de seguridad del sitio web que cubra sus plugins, cuentas de usuario y registros, y nuestro equipo de diseño web construye sistemas de reservas de su propiedad cuando un plugin de calendario tiene que reemplazarse. Trabajamos con pequeñas y medianas empresas en el país y en el extranjero. Díganos qué plugin de calendario o de reservas usa su sitio, y le diremos qué revisar primero.
Términos
Palabras de seguridad para plugins de calendario
Toque un término para ver qué significa.
CVE. Un identificador público, como CVE-2026-78159, que se asigna a una falla de seguridad específica para que todos se refieran a la misma.
CVSS. Una puntuación de 0 a 10 que califica la gravedad de una falla; 9.8 es crítica y 5.3 es media.
Sin autenticación. Que no requiere inicio de sesión, así que cualquier visitante del sitio podría activar la falla.
Ejecución remota de código. Una falla que permite a una persona externa ejecutar su propio código en el servidor.
Control de acceso roto. Una verificación faltante sobre quién puede hacer algo, así que un visitante puede llegar a una función a la que no debería tener acceso.
Versión corregida. La primera versión de un plugin que cierra una falla; cualquier versión anterior sigue expuesta.
Sitio de pruebas (staging). Una copia privada de su sitio que se usa para probar una actualización antes de que llegue a los clientes.
