WP Rocket no está teniendo su mejor semana. Después de los problemas de compatibilidad con WordPress 7.1, que podían llegar a dejar completamente inaccesible una web, sus desarrolladores han comunicado ahora una vulnerabilidad de seguridad que podría haber expuesto información sensible almacenada por el plugin.
El problema fue notificado al equipo de WP Rocket durante la noche del 26 al 27 de agosto de 2026 y, según la compañía, quedó corregido el 27 de agosto. La recomendación es clara: actualizar WP Rocket a la versión 3.23.3.3 cuanto antes.
¿Qué información podía quedar expuesta?
Según la comunicación enviada por WP Rocket a sus clientes, la vulnerabilidad podía permitir la exposición de varios datos:
- La dirección de correo electrónico asociada a la cuenta de WP Rocket.
- La clave de licencia de WP Rocket.
- La clave API de Cloudflare, si estaba configurada mediante la integración de WP Rocket.
- La clave API de Sucuri, si estaba configurada mediante la integración de WP Rocket.
Esto último hace que el problema sea especialmente importante para quienes utilizan las integraciones de Cloudflare o Sucuri directamente desde WP Rocket. Por el momento, WP Rocket asegura que no tiene constancia de que estos datos hayan sido realmente expuestos o utilizados, pero recomienda tomar medidas preventivas.
Qué debes hacer si utilizas WP Rocket
La primera medida es sencilla: actualiza WP Rocket a la versión 3.23.3.3 o superior inmediatamente. Si además tienes configurada dentro de WP Rocket una integración con Cloudflare o Sucuri, la recomendación de sus desarrolladores es regenerar las claves API utilizadas. Una vez generadas las nuevas claves, recuerda sustituir también las antiguas dentro de la configuración de WP Rocket para que las integraciones continúen funcionando correctamente.
¿Y la licencia de WP Rocket?
También existe una consideración adicional para los usuarios que disponen de una licencia Multi. Una clave de licencia expuesta podría utilizarse para activar WP Rocket en otros sitios web hasta alcanzar el límite de instalaciones contratado. La propia compañía considera que el riesgo es bajo, pero indica que los usuarios preocupados por esta posibilidad pueden ponerse en contacto con su soporte para solicitar una rotación de la clave de licencia.
Una semana complicada para WP Rocket
Este incidente llega apenas unos días después del problema provocado por la combinación de WP Rocket y WordPress 7.1. Tras el lanzamiento de WordPress 7.1 el 20 de agosto, determinadas configuraciones de WP Rocket podían provocar un error fatal que dejaba inaccesible tanto el frontal de la web como, en algunos casos, el propio panel de administración. WP Rocket publicó la versión 3.23.2.2 para solucionarlo y posteriormente reconoció públicamente su responsabilidad en el incidente.
Ahora tenemos una nueva actualización urgente, esta vez relacionada con la seguridad. Por tanto, si administras uno o varios sitios WordPress con WP Rocket, no basta con haber actualizado recientemente para solucionar los problemas con WordPress 7.1. Comprueba nuevamente la versión instalada.
Versión recomendada: WP Rocket 3.23.3.3 o superior
Y si utilizas las integraciones de Cloudflare o Sucuri, aprovecha la actualización para renovar también sus claves API. En apenas una semana hemos pasado de una actualización necesaria para evitar que WordPress 7.1 pudiera dejar una web inaccesible a otra actualización recomendada urgentemente por una vulnerabilidad que podía exponer credenciales. Definitivamente, WP Rocket no está teniendo un buen final de agosto.
