La última ronda de noticias de WordPress no es una colección aleatoria de actualizaciones de producto. Mayo de 2026 muestra que varias tendencias anteriores pasan a la práctica: WordPress 7.0 está cerca de su lanzamiento, la IA entra en la infraestructura, la economía de los marketplaces cambia y la seguridad de los plugins vuelve a mostrar la diferencia entre un stack mantenido y uno frágil.
En marzo tratamos WordPress 7.0, cuota de mercado y presión de la IA. Esta actualización es más concreta y práctica. La pregunta ya no es si la IA influirá en WordPress. Ya aparece en la planificación de versiones, en las API de WooCommerce, en el empaquetado de productos y en la gestión de riesgos.
Actualización del 15 de octubre de 2026: hemos vuelto a comprobar cada punto de abajo en la fuente primaria (wordpress.org, make.wordpress.org, el blog del propio proveedor o el aviso de los investigadores de seguridad). Hemos eliminado los puntos que no pudimos rastrear hasta una fuente primaria y corregido las cifras que la fuente primaria da de otra forma.
Fecha de lanzamiento de WordPress 7.0 y funciones retiradas
El hito técnico clave es WordPress 7.0 RC4, publicado el 14 de mayo de 2026, junto con su Field Guide. RC4 significa que la versión estable está muy cerca y marca la congelación de cadenas para los traductores. El ciclo también muestra un proceso de lanzamiento más pragmático de lo que sugería el marketing inicial de 7.0.
La colaboración en tiempo real era una de las funciones previstas más visibles, pero se retiró del core en esta versión. La publicación del equipo core del 8 de mayo explica que la decisión la tomó Matt Mullenweg porque no confiaba en que el enfoque actual fuera lo bastante robusto. Las preocupaciones que enumera son la superficie de cambios, las condiciones de carrera, la carga del servidor y la eficiencia de memoria, además de errores que seguían apareciendo en las pruebas de fuzzing. El calendario se mantuvo y la publicación no indica versión de destino para la función, solo una versión futura. Para agencias y propietarios de sitios esto importa, porque una release candidate no es una lista de deseos. Es el punto en que la compatibilidad, las pruebas y la disciplina operativa pesan más que la ambición del roadmap.
La versión estable estaba prevista para el 20 de mayo de 2026. Esa fecha salía de un calendario revisado publicado el 22 de abril, que sustituyó el objetivo original del 9 de abril. En paralelo, el equipo WordPress AI preparaba la versión 1.0 de su plugin de IA para el 19 de mayo, un día antes del core. En proyectos con RGPD, Abilities API en el core y los controles del plugin deben evaluarse juntos.
Antes de pasar a producción, los equipos deberían verificar:
- la compatibilidad del tema y los plugins,
- los bloques personalizados y el comportamiento del editor,
- los flujos de WooCommerce, LMS, membresías y edición,
- las integraciones que usan REST API, WP-CLI o endpoints propios.
En sitios comerciales complejos, actualizar el primer día sigue siendo una mala opción por defecto. Conviene probar en staging, comparar logs, revisar los flujos críticos para el negocio y después planificar la ventana de producción.
Qué incluyó WordPress 7.0 Armstrong el 20 de mayo
WordPress 7.0 “Armstrong” salió el 20 de mayo de 2026, en la fecha revisada. El anuncio reconoce a más de 875 colaboradores, más de 200 de ellos por primera vez, y más de 420 mejoras y correcciones.
Para los desarrolladores, lo que cambia la arquitectura son las piezas de IA. El Field Guide enumera:
- WP AI Client, una interfaz independiente del proveedor con la que los plugins se comunican con modelos de IA generativa, con preferencias de modelo declaradas mediante
using_model_preference(), - Connectors API y una pantalla Connectors en el escritorio, donde el propietario gestiona las conexiones con proveedores externos de IA,
- Client-Side Abilities API, el equivalente en JavaScript de la Abilities API de PHP, sobre la que también se apoya el AI Client.
Dos avisos de compatibilidad del Field Guide deberían estar en toda lista de actualización. La versión mínima de PHP para el core es ahora 7.4, así que un alojamiento con PHP 7.2 o 7.3 bloquea la actualización. El editor funciona ahora dentro de un iframe, y el Field Guide lo vincula a la versión 3 de la API de bloques, de modo que los bloques personalizados antiguos registrados con un apiVersion anterior deben probarse en el editor antes de que la actualización llegue a producción.
El resto de la versión es trabajo en el editor y el escritorio: un nuevo esquema de color “Modern”, transiciones de vista en wp-admin, un atajo de teclado para la Command Palette, una página de biblioteca de fuentes que funciona en temas de bloques, híbridos y clásicos, revisiones visuales, visibilidad de bloques por dispositivo, un bloque Breadcrumbs y registro de bloques solo con PHP. La generación de imágenes y las sugerencias de títulos, extractos y texto alternativo no forman parte del core. Están en el plugin de IA independiente.
Por qué Liquid Web retira la marca StellarWP
Que Liquid Web retire la marca StellarWP no sorprende por sí mismo. Tras las adquisiciones, los grupos grandes suelen simplificar su arquitectura de marcas. Kadence, LearnDash, The Events Calendar y Give son nombres de producto más reconocibles que la marca paraguas.
La fuente primaria es el anuncio de Liquid Web del 12 de mayo de 2026. Según él, Liquid Web by Nexcess concentra su software para WordPress en cuatro productos principales: Kadence, LearnDash, The Events Calendar y Give. El nombre StellarWP no aparece en el texto. Lo que se puede observar desde fuera: stellarwp.com responde ahora con una redirección permanente a liquidweb.com (comprobado el 15 de octubre de 2026).
La misma publicación explica qué pasa con las marcas menores. SolidWP, Iconic, Restrict Content Pro y MemberDash ya no se venden como productos independientes:
| Producto anterior | Dónde están ahora sus funciones |
|---|---|
| SolidWP | Kadence Security, dentro de Kadence |
| Iconic | Kadence Shop Kit, dentro de Kadence |
| Restrict Content Pro | Kadence Memberships, dentro de Kadence |
| MemberDash | LearnDash |
Para las agencias que gestionan licencias de clientes, los detalles operativos importan más que la marca. Según el anuncio, las claves de licencia existentes siguen siendo válidas y no cambian, los planes actuales mantienen precio y funciones mientras la suscripción esté activa, y pasar a un plan nuevo es opcional, con un crédito por el tiempo no utilizado. Todos los productos están ahora en un único portal, software.liquidweb.com, y los enlaces antiguos como my.solidwp.com redirigen allí. Si una suscripción caduca, hay que comprar uno de los planes nuevos para recuperar el acceso. Algunas herramientas antiguas se retiran: siguen funcionando, pero solo reciben parches de seguridad críticos, y solo hasta abril de 2027. En Kadence la lista incluye WooCommerce Elementor, WooCommerce Elementor Pro, AMP, Slider Pro y Pricing Table, y los temas gratuitos Virtue, Pinnacle y Ascend ya no están disponibles en WordPress.org.
La lección es de gestión de dependencias. Cuando la marca paraguas desaparece más rápido de lo que se actualiza el portal de licencias, los clientes llaman primero a su agencia. Para cada plugin crítico conviene saber quién es el propietario, con qué frecuencia publica versiones, qué cambió tras una adquisición y cuál es el plan alternativo si cambia la dirección del producto.
Cuánto paga Envato a los autores desde julio de 2026
El abandono del antiguo modelo económico para autores exclusivos de Envato también es relevante. ThemeForest y CodeCanyon definieron en la década de 2010 cómo se vendían los temas de WordPress y los plugins pequeños. Aquel modelo tenía defectos reales: temas pesados con todo incluido, dependencia, soporte desigual y migraciones difíciles. Aun así, dio a muchas empresas un camino rápido al mercado.
El anuncio en el Author Hub de Envato describe el cambio. Desde el 1 de julio de 2026, Envato Market elimina por completo el requisito de exclusividad, suprime la distinción entre cuentas exclusivas y no exclusivas y pasa a todos los autores a una comisión del 50%: el autor recibe el 50% del componente de precio del artículo dentro del precio de lista. Envato reconoce abiertamente que para los autores exclusivos supone menos ingresos. Para los no exclusivos, la comisión baja del 55% al 50%. La nueva tarifa aparece por primera vez en el pago del 15 de agosto, y los cambios están en las secciones 9 y 13 de los Envato Market Author Terms. Envato justifica el paso por las condiciones del mercado y afirma que el nuevo modelo se acerca más a Envato Elements, que sigue siendo su foco principal.
El momento encaja en un patrón más largo. Cuando Shutterstock cerró la compra de Envato en julio de 2024, su nota de prensa destacó 650.000 suscriptores de Envato y Envato Elements, sin mencionar Envato Market ni a sus autores.
El nuevo modelo de ingresos hace que Envato resulte menos atractivo como hogar exclusivo para los autores. Es probable que más equipos de producto creen canales de venta directa, centros de documentación, sistemas de licencias propios y flujos de desarrollo basados en GitHub. Envato ya lo permite: un autor puede vender el mismo artículo en Market y en su propia tienda o en otros marketplaces. Para los compradores, eso significa más opciones, pero también más diligencia.
La pregunta práctica ya no es “¿es popular este artículo en un marketplace?”. Es “¿puede este proveedor mantener el producto, darle soporte claro y mantenerlo compatible con el stack que usamos?”
CERN migra 800 sitios a WordPress
CERN anunció en 2025 que adopta WordPress como su futuro CMS. La descripción de la sesión en WordCamp Europe 2026 sitúa la migración en más de 800 sitios, trasladados de forma automatizada a un servicio WordPress personalizado. Es el tipo de programa que la mayoría de agencias nunca muestra en su marketing, pero que reconoce al instante en licitaciones y reuniones de gobernanza.
En WordCamp Europe 2026, en Cracovia, el Web Manager de CERN Joachim Valdemar Yde y el ingeniero de plataforma Francisco Borges Aurindo Barros abrieron el programa de la conferencia el 5 de junio con Two worlds collide: WordPress at CERN, la primera sesión tras la bienvenida. La charla trató la gobernanza, el desarrollo de la infraestructura y la migración automatizada. Para las agencias europeas es una referencia útil cuando un cliente pregunta si WordPress sigue teniendo cabida en conversaciones “serias” sobre infraestructura. Lo difícil no es elegir el core. Son los roles, el flujo editorial, la gobernanza multilingüe y la política de actualizaciones en cientos de sitios.
Cómo configurar los permisos de agentes de IA en WordPress
La noticia de IA más importante no trata de generar textos. Trata de infraestructura.
El plugin WordPress AI (antes AI Experiments) publicó la versión 0.9.0 el 7 de mayo con el experimento Comment Moderation, que puntúa comentarios con análisis de sentimiento y detección de toxicidad y los marca para revisión, el experimento Content Resizing y el comando wp ai alt-text generate para generar texto alternativo en lote. La versión 1.0.0 llegó el 19 de mayo con dos experimentos de gobernanza: Request Logging, que permite a los administradores revisar las solicitudes y respuestas de IA, y Connector Approvals, que permite a los administradores decidir qué plugins pueden usar los conectores de IA configurados. WooCommerce avanza hacia Abilities API y flujos con adaptador MCP. La dirección es clara: los agentes de IA no solo deben leer datos del sitio, sino ejecutar acciones controladas con permisos explícitos.
En proyectos comerciales esto plantea preguntas prácticas:
- quién paga el consumo de tokens,
- qué datos pueden salir de WordPress,
- cómo se registran las acciones del agente,
- cuándo es obligatoria la aprobación humana,
- cómo se separa el acceso de solo lectura de las acciones que cambian pedidos, productos o contenido.
Aquí está el trabajo serio de ingeniería WordPress en 2026. El valor no está en añadir otro chatbot. Está en diseñar permisos, registros de auditoría, control de costes y límites operativos fiables.
Qué aportan WooCommerce 10.8 y 10.9 para agentes de IA
El blog de desarrolladores de WooCommerce describió la parte comercial el 12 de mayo. WooCommerce 10.9 introduce abilities canónicas para productos y pedidos:
woocommerce/products-query,woocommerce/product-create,woocommerce/product-update,woocommerce/product-delete,woocommerce/orders-query,woocommerce/order-update-status,woocommerce/order-add-note.
Cada ability tiene su propio permission_callback, que pasa por el modelo de permisos existente de WooCommerce, y la validación del esquema rechaza los campos desconocidos antes de ejecutar nada. WooCommerce no mantiene una implementación MCP propia: incluye el paquete oficial wordpress/mcp-adapter, que ofrece a un cliente MCP tres herramientas: descubrir abilities, obtener información de una ability y ejecutar una ability. La beta MCP anterior, derivada de REST, en /wp-json/woocommerce/mcp, queda como vía de transición obsoleta y se eliminará en una versión futura. La publicación daba el 23 de junio de 2026 como fecha prevista de la 10.9.
Actualización, : la eliminación ya tiene número de versión. El blog de desarrolladores de WooCommerce escribió el 21 de octubre que WooCommerce 11.3 elimina /wp-json/woocommerce/mcp y deja de incluir el paquete wordpress/mcp-adapter. Las tiendas conectan los clientes de IA mediante el plugin MCP Adapter y una contraseña de aplicación de WordPress en lugar de una clave de la REST API de WooCommerce. Si el mismo agente también tiene que llegar a una tienda en Shopify o a un backend propio, consulta desarrollo de servidores MCP.
WooCommerce 10.8.0 salió el 26 de mayo, una semana más tarde de lo previsto para dejar margen alrededor del lanzamiento de WordPress 7.0. Introdujo una API GraphQL con su propia sección de ajustes, y las notas previas de la 10.8 advertían de que la función seguía en desarrollo.
Para las tiendas, la prueba práctica no son los chatbots de demostración. Es si las consultas de productos, los cambios de estado de pedidos y las notas pueden exponerse con capacidades explícitas y registros de auditoría antes de que un agente obtenga permisos de escritura. La lista anterior es un buen punto de partida para esa revisión: las abilities de consulta leen, todas las demás escriben.
Alertas de seguridad de Avada y Burst Statistics
Las alertas recientes sobre Avada Builder y Burst Statistics muestran el mismo patrón desde ángulos distintos. Las herramientas populares de WordPress atraen a los atacantes, y una sola cuenta de administrador comprometida puede afectar a muchos sitios a la vez.
- Burst Statistics: Wordfence publicó CVE-2026-8181 el 13 de mayo, una omisión de autenticación crítica (CVSS 9.8) en las versiones 3.4.0 a 3.4.1.1 de un plugin con más de 200.000 instalaciones activas. Un atacante no autenticado que conociera un nombre de usuario de administrador podía actuar como ese administrador durante una solicitud a la REST API y, en el peor caso, crear una nueva cuenta de administrador. El proveedor publicó la versión 3.4.2 el 12 de mayo, un día después de recibir el informe.
- Avada Builder: la base de datos de vulnerabilidades de Wordfence registra el 12 de mayo una inyección SQL sin autenticación (CVE-2026-4798) y una lectura arbitraria de archivos para usuarios autenticados (CVE-2026-4782), y el 20 de mayo una ejecución remota de código sin autenticación (CVE-2026-6279, CVSS 9.8) en versiones hasta la 3.15.2. Todas figuran como corregidas.
No todas las noticias de seguridad fueron negativas. GravityKit introdujo la firma criptográfica de paquetes en su suite comercial. Según su descripción técnica, cada paquete se firma al compilarse con Ed25519 sobre un hash SHA-256 del ZIP, y la biblioteca compartida Foundation verifica la firma en el hook upgrader_pre_download, antes de que WordPress descomprima nada. GravityView 2.57 es el primer producto con el verificador, y un manifiesto de revocación firmado permite a GravityKit invalidar una clave comprometida. Sigue siendo poco habitual en plugins comerciales de WordPress, y es el tipo de control que los clientes enterprise piden después del siguiente titular sobre la cadena de suministro.
En 2026, el mantenimiento no puede significar “pulsar actualizar y esperar”. Requiere autenticación multifactor, cuentas de operador separadas, staging para las actualizaciones, supervisión de la actividad de administración y una lista de plugins críticos con responsables claros.
La tendencia de los titulares es la IA, pero la realidad operativa sigue siendo la seguridad. Un sitio con flujos de agentes experimentales y controles de cuentas débiles no es moderno. Está expuesto.
Divi 5, rendimiento y lock-in del page builder
Elegant Themes declaró Divi 5 listo para producción en las notas de la versión Divi 5.6 del 25 de mayo de 2026, que dan por terminadas las fases beta. Las mismas notas incluyen correcciones para la conversión de Divi 4 a Divi 5, entre ellas casos en los que el Backward Compatibility Mode seguía activo tras la migración. Un framework nuevo no elimina la dependencia del tema, pero cambia la conversación sobre rendimiento en los sitios que siguen apoyados en Divi, y cualquier migración necesita revisar los diseños convertidos página por página.
Los cambios de comisión de Envato en mayo empujan a más autores hacia la venta directa. Si estás comparando bloques nativos con constructores comerciales, consulta Gutenberg vs Elementor vs Divi en 2026 para ver la matriz de auditoría que usamos en proyectos de clientes.
Cómo preparar un sitio WordPress para la versión 7.0
La actualización de mayo apunta a un ecosistema WordPress más fragmentado, pero más capaz. El core se vuelve más prudente con la calidad de las versiones. WooCommerce se prepara para flujos orientados a agentes. Los marketplaces pierden parte de su antiguo peso. Los grupos de producto consolidan marcas tras las adquisiciones. Grandes instituciones como CERN apuestan por WordPress a escala. Y la seguridad sigue decidiendo si un stack se mantiene de forma profesional.
Para los propietarios de sitios no es motivo de pánico. Es motivo para tratar WordPress como una plataforma y no como una instalación puntual. Los siguientes pasos razonables son staging para 7.0 con comprobación de la versión de PHP, una revisión de quién es responsable de cada plugin, la comprobación de licencias de cualquier dependencia de ThemeForest o CodeCanyon y un único flujo de IA controlado con valor medible.
Guía de WordPress 7.0 e integración de IA
Este artículo es un resumen del ecosistema. Para Abilities API, adaptadores MCP y detalles de implementación, consulta la guía completa de WordPress 7.0 e integración de IA.
