La versión 10.8.7 del plugin Advanced Responsive Video Embedder (ARVE), usado para insertar vídeos de YouTube, Vimeo y otras plataformas en WordPress, incluía una puerta trasera que permitía entrar como administrador sin contraseña. WordPress.org lo retiró del repositorio y afecta a una base de unas 20.000 webs. Es un aviso para cualquier negocio que muestre vídeo en su web: la seguridad de un plugin de vídeo en WordPress importa tanto como la calidad del vídeo, y a menudo se puede prescindir del plugin.
Actualización (septiembre de 2026): el plugin vuelve a estar disponible en WordPress.org, con versiones 10.9.x publicadas el 5 de agosto de 2026. Su registro de cambios no menciona el incidente. Si lo usas, confirma que no tienes instalada la 10.8.7 y aplica igualmente las comprobaciones de este artículo. fuente.
En resumen
- ARVE 10.8.7 contenía código malicioso que daba acceso de administrador con una sola petición, según CyberPress (29/07/2026).
- La vulnerabilidad es la CVE-2026-18072, con una gravedad de 9,8 sobre 10.
- Wordfence la detectó el 28 de julio y WordPress.org retiró el plugin del repositorio.
- Si lo usabas: elimínalo, revisa usuarios administradores, cambia claves de seguridad y cierra sesiones.
- Para mostrar vídeo en tu web, el editor de WordPress ya permite insertar YouTube o Vimeo sin plugins adicionales.
Qué ha pasado con el plugin de vídeo
Una puerta trasera (backdoor) es código escondido que permite a alguien acceder a un sistema saltándose la autenticación normal. En este caso, según CyberPress, una función ejecutada al iniciar WordPress comparaba un parámetro enviado por el atacante con un valor escrito en el propio código. Si coincidía, el atacante entraba como administrador.
El aviso de seguridad publicado en GitHub (29/07/2026) la clasifica como crítica y apunta a que el origen probable fue el robo de credenciales del desarrollador. Es un ataque a la cadena de suministro: no se ataca tu web directamente, sino una pieza de software de confianza que tu web instala y actualiza.
| Dato | Detalle |
|---|---|
| Plugin | Advanced Responsive Video Embedder (ARVE) |
| Versión afectada | 10.8.7 |
| Identificador | CVE-2026-18072, gravedad 9,8 (crítica) |
| Impacto | Acceso de administrador sin credenciales |
| Detección | Wordfence, menos de dos horas después de introducirse el código, el 28/07/2026 |
| Instalaciones activas | Unas 20.000 |
¿Qué hago si mi web usaba este plugin?
CyberPress recoge las recomendaciones de Wordfence. Adaptadas a una pyme, estos son los pasos, en orden:
- Comprueba la versión en Plugins del escritorio de WordPress.
- Elimina el plugin si tenías la 10.8.7 o no puedes confirmar qué versión se instaló.
- Revisa los usuarios administradores y borra cualquiera que no reconozcas.
- Cambia las claves de seguridad de WordPress (las «salts» del archivo de configuración) para invalidar sesiones abiertas.
- Cambia las contraseñas de administradores, hosting y base de datos.
- Revisa archivos y base de datos en busca de código añadido, o pide ayuda a tu proveedor de hosting o a un especialista en seguridad.
- Restaura una copia de seguridad anterior al 28 de julio si detectas cambios que no puedes explicar.
Cómo insertar vídeo en WordPress con los mínimos plugins
Cada plugin es código de terceros con acceso a tu web. Si solo lo usas para algo que WordPress ya hace, es riesgo sin beneficio. Estas son las opciones habituales:
| Opción | Cómo funciona | Ventajas | A tener en cuenta |
|---|---|---|---|
| Bloque de inserción de WordPress | Pegas la URL de YouTube o Vimeo en el editor | Sin plugins, responsive, fácil | Carga scripts de la plataforma y puede mostrar vídeos relacionados |
| YouTube con modo de privacidad mejorada | Código de inserción con dominio youtube-nocookie | Menos cookies hasta que se reproduce | Revisa tu política de cookies igualmente |
| Vimeo | Inserción desde la plataforma | Reproductor limpio y control de privacidad | Algunas opciones dependen del plan |
| Vídeo autoalojado | Subes el archivo a tu biblioteca y usas el bloque Vídeo | Sin terceros ni publicidad | Pesa en el servidor; solo para clips cortos y optimizados |
Para clips cortos en la página de inicio o en una landing, un vídeo autoalojado ligero y sin sonido puede ir bien. Para vídeos largos, lo razonable es alojarlos en YouTube o Vimeo e insertarlos.
Si necesitas un plugin, elígelo con criterio
- Que resuelva algo que el editor no hace: listas de reproducción avanzadas o carga diferida del reproductor, por ejemplo.
- Con actualizaciones frecuentes y un desarrollador identificable.
- Instalado solo si se usa: borra los plugins desactivados.
- Con una herramienta de seguridad o un hosting que avise de vulnerabilidades conocidas.
Qué significa para la web de tu negocio
Un incidente así no se evita solo con elegir bien una vez. Lo que protege es el mantenimiento: copias de seguridad automáticas, revisión periódica de plugins, usuarios con los permisos justos y alguien atento a los avisos de seguridad.
Nuestro criterio para cualquier web es resolver el vídeo con las funciones nativas de WordPress y plataformas como YouTube o Vimeo. Menos piezas de terceros significa menos puertas por las que alguien pueda colarse.
Preguntas frecuentes
¿Qué es Advanced Responsive Video Embedder?
Es un plugin de WordPress para insertar vídeos de plataformas como YouTube, Vimeo, Rumble u Odysee con un diseño adaptable a móvil. Tiene unas 20.000 instalaciones activas. Su versión 10.8.7 incluyó una puerta trasera que permitía entrar como administrador sin credenciales, identificada como CVE-2026-18072, y WordPress.org lo retiró del repositorio tras detectarse.
¿Cómo sé si mi WordPress ha sido comprometido?
Revisa si hay usuarios administradores que no reconoces, archivos modificados recientemente, redirecciones extrañas o avisos de tu hosting. Un plugin de seguridad puede escanear los archivos. Si tenías instalada una versión afectada, actúa como si hubiera habido acceso: cambia claves y contraseñas, cierra sesiones y consulta con tu proveedor o con un especialista.
¿Necesito un plugin para poner vídeos de YouTube en WordPress?
No. El editor de bloques de WordPress permite insertar vídeos de YouTube y Vimeo pegando la URL, y el resultado se adapta al móvil. Un plugin solo tiene sentido si necesitas funciones que el editor no ofrece. Cuantos menos plugins instales, menos código de terceros tendrás que mantener actualizado y vigilado.
¿Es mejor subir el vídeo a mi web o a YouTube?
Para vídeos largos, suele ser mejor alojarlos en YouTube o Vimeo e insertarlos: la plataforma se encarga del ancho de banda y la calidad adaptativa. Subirlos a tu servidor tiene sentido para clips cortos y ligeros, como un fondo de cabecera, siempre comprimidos para que no ralenticen la carga de la página.
Vídeos que venden en una web que no da sustos
Un buen vídeo en la home o en una página de servicio convierte visitas en contactos, pero solo si la web que lo muestra es rápida y segura. En Orbit Media Lab producimos vídeos corporativos para la web de tu empresa y los preparamos para cada formato. Puedes ver ejemplos en nuestro portfolio de vídeo.
Si quieres renovar el vídeo de tu web, cuéntanos qué necesitas.
