Freelandev - Vivir del desarrollo en WordPress

By Nahuai Badiola y esther solàBusiness Technology Education Careers

Freelandev - Vivir del desarrollo en WordPress episodes

October 26#365 – Lidiando con PHP2Shell y otras vulnerabilidades
Síguenos en:
Después de esta "Semana fantástica del PHP" creo que a ninguno de vosotros os sorprenderá el tema del episodio de hoy.
¿Qué tal la semana?
Semana esther
Revisando PHP’s, actualizando y migrando.
Semana Nahuai
Parcheando el problema de bbPress y los campos personalizados en CPTs (a priori lo solucionarán en la 2.6.21, pero mejor no esperar porque las versiones anteriores tienen vulnerabilidades).
Enviando el plugin de carbon.txt, creado en colaboración con GWF, al repositorio de WordPress.
Terminando la conversión del diseño, de páginas kilométricas, de Claude Design a bloques.
No haciendo los preparativos que quería para el MozFest.
Tema de la semana:
Breve timeline de PHP2Shell:
Agosto de 2026 (Descubrimiento): Investigadores de seguridad descubren las vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) y empiezan a trabajar en el parche. Ambos equipos estaba usando AI para descubrir vulnerabilidades.
17 de octubre de 2026 (Primeros ataques): Amazon detecta el primer intento de explotación en sus sistemas señuelo (honeypots), cuatro días antes de que los detalles fueran públicos.
20 de octubre de 2026 (Filtración): Se filtran detalles de la vulnerabilidad en foros, lo que obliga a los desarrolladores de PHP a adelantar el lanzamiento del parche.
21 de octubre de 2026 (Lanzamiento del parche): PHP lanza las versiones corregidas de emergencia (8.5.12, 8.4.27, 8.3.36 y 8.2.35).
21 de octubre de 2026 en adelante (Explotación masiva): Tras la publicación del parche, los atacantes aplican ingeniería inversa rápidamente y comienzan los ataques masivos en internet.
Enlaces relacionados:
https://www.php.net/archive/2026.php
https://cert.europa.eu/publications/security-advisories/2026-018
Otras brechas de seguridad recientes en el entorno de WordPress:
Rank Math Confirms System Breach Delivered Malware to Several Hundred PRO Customers
Attacker Uses Stolen UpdraftCentral Keys to Backdoor WordPress Sites After TeamUpdraft Breach
Novedades
Se decide añadir el adaptador MCP al core de WordPress:
https://www.therepository.email/wordpress-ai-team-moves-to-make-mcp-a-default-part-of-wordpress-with-7-3-floated-as-a-target
Tip de la semana
Haz una auditoría de seguridad a tus webs y la de tus clientes.
38 min
October 20#364 – WordCamp Galicia 2026
Síguenos en:
Un año más, Nahuai nos pone los dientes largos explicando su experiencia en la WordCamp Galicia 2026.
¿Qué tal la semana?
Semana esther
Peleando para poder subir las versiones PHP de hostings de clientes.
Semana Nahuai
Tuve que hacer un rollback de bbPress a la Versión 2.6.18 porque la Versión 2.6.19 rompía los campos personalizados de un sitio web.
Tema de la semana: WordCamp Galicia 2026
Evento de Weglot el jueves por la noche.
Turisteo por A Coruña.
Do_Action el viernes, un éxito con 3 proyectos lanzados.
Día de charlas:
The browser it’s the agent - Ivelina y Marcel
Presentaron un proyecto que crearon en el hackathon de Cloudfest
Basado en WebLLM y WebGPU, usando WebMCP (solo en Chromium por ahora)
Totalmente local y privado
Usa abilities API para ofrecer las herramientas al modelo
Indexa todo el código de WP y lo usa como contexto
Agentic Admin plugin - GitHub - pluginslab/wp-agentic-admin · GitHub
O RSS está de volta - Pilar Mera
Reivindicación de este estándar
Subida de búsqueda de RSS en Google Trends
Cuento de open source
Érase unha vez un proxecto Open Source · Andrea Magán Rey
El futuro de los profesionales con la IA - Fernando Puente, Ana Rute y José Freitas
Futuro impredecible
Creación de software mucho más rápido aunque no se trabaja menos
Tareas repetitivas y administrativas
Perfil senior que sepa cómo dirigir la IA seguirá
Mucha más confianza en el código que produce respecto a hace un año
No perder la parte humana
Abilities API - Uros Tasic
Repaso completo a cómo funciona la API
El futuro de la IA en WordPress: Orquestrando la interactivity API, Block bindings y LLMs - Imran Sayed
Ejemplo basado en crear un bloque de recetas
Block Bindings + Interactivity API + Abilities API + MCP
GitHub - imranhsayed/tarjeta-receta-ia: Tarjeta Receta IA Plugin · GitHub
Pulpo y afterparty (con karaoke).
Contributor Day
Mesa de comunidades tecnológicas
Contribuí de nueva en la mesa de foto
Asistencia más alta que otras veces
Felicitar al equipazo por el evento de 10.
Novedades
Problema de seguridad en UpdraftPlus:
https://www.therepository.email/attacker-uses-stolen-updraftcentral-keys-to-backdoor-wordpress-sites-after-teamupdraft-breach
Tip de la semana
https://toolbox.rss.here.now
49 min
October 13#363 – Privacidad, o falta de, en los chats de IA
Síguenos en:
Hoy comentamos un estudio sobre las prácticas de privacidad en los chats de IA más populares.
¿Qué tal la semana?
Semana esther
A mínimos tras las inundaciones de la última semana.
Ojo, Contact Form 7 necesita PHP 8.3 para la nuea actualización
Semana Nahuai
Migrando mis registros de tiempo de Toggl a una app propia
Extensión de Raycast (Spotlight)
Extension de Factura Directa
Probado otros arnés que no sean Claude Code, como OpenCode y Pi.
Retomando el proyecto de la clienta que quiere usar WordPress con Claude.
Preparando el plugin de carbon.txt para enviarlo al repositorio de WordPress.
Dando el último repaso a Amaranto
Tema de la semana:
Resumen: "Prompt like a Butterfly, Sting like a Tracker"
El paper publicado en PoPETs 2027 (Proceedings on Privacy Enhancing Technologies).
Objetivo del Estudio
Analizar sistemáticamente las prácticas de privacidad en 9 servicios prominentes de IA conversacional (ChatGPT, Claude, Grok, Gemini, Copilot, Perplexity, Mistral, Meta AI, DeepSeek) en plataformas web y móviles (Android).
Hallazgos Principales
Todos los servicios contactan al menos una organización de publicidad/seguimiento. Se identificaron 44 organizaciones.
6/9 clientes web y 3/8 móviles comparten URLs, títulos, prompts y capturas de conversación con terceros
Los artefactos de conversación se envían junto con identificadores persistentes (emails hasheados, advertising IDs, cookies) que permiten vincular usuarios
Muchos permalinks de conversación son accesibles públicamente sin autenticación por defecto (ej. Grok, Perplexity para invitados)
Rechazar cookies no elimina el 80.8% de los trackers. Las cuentas gratuitas y premium tienen infraestructura de rastreo casi idéntica
Riesgos Específicos Identificados
Títulos generados por IA revelan temas sensibles (salud, finanzas, situaciones personales)
Claude y Grok usan forwarding server-to-server que evade bloqueadores de anuncios
Canary tokens, señuelos, mostraron que conversaciones compartidas fueron accedidas repetidamente (70 activaciones en Grok desde 14 países)
Sincronización de cookies entre plataformas (Meta ↔ TikTok), hashing de emails, fingerprinting
Novedades
Interesante reflexión de Brian Coords sobre la IA en el mercado de WordPress:
Bringing WordPress AI to the Market
Creación de un plugin “Core Abilities”
Facilitar el uso de MCP
Una página dedicada en WordPress.org y en la de desarrolladores
Lanzamiento de WordPress 7.1.3:
WordPress 7.1.3 Maintenance and Security Release – WordPress News
Tip de la semana
Opciones más respetuosas con la privacidad:
Ollama (local y cloud)
LM Studio (local)
Lumo (chat online de Proton, conversaciones cifradas)
Siri AI (app para MacOS en inglés)
Thaura
48 min
September 28#362 – Estado de la IA abierta
Síguenos en:
Hoy por fin hablamos sobre el informe de Mozilla sobre la IA abierta que teníamos pendiente de comentar desde hace un tiempo.
Tema de la semana:
https://stateofopensource.ai
El informe de Mozilla que revisa el mundo de la IA "abierta".
Recordad la diferencia entre código abierto y pesos abiertos.
De 16 modelos "abiertos" famosos, ninguno entrega los datos con los que fue entrenado.
🧠 ¿Los modelos abiertos ya compiten? Sí, casi los alcanzan
El mejor modelo abierto pierde con el mejor cerrado por solo 3 puntos... y cuesta una tercera parte.
Los 4 mejores del ranking son cerrados, pero los siguientes 4 son abiertos.
La diferencia entre abierto y cerrado es de unos 4 meses. Cada vez que sale algo nuevo, la brecha se resetea.
Los modelos cerrados aguantan tareas más largas (8-12 horas), pero esa ventaja se va borrando.
El detalle: lo cerrado sigue ganando en trabajo profesional fino (documentos largos, respuestas con "pulido").
💸 Los precios se vinieron abajo
Correr un modelo cuesta ~60 veces menos que hace 3 años y medio. Antes pagabas $20, ahora casi $0.30.
Dato curioso: DeepSeek (abierto y chino) fue el modelo más solicitado por primera vez, quitándole el trono a Google..
Pero ojo: DeepSeek también subió sus precios recientemente.
🏭 Fácil de descargar, difícil de poner en producción
Todo el mundo quiere usar modelos abiertos (79% de developers), pero a la hora de sacarlos a producción se atascan.
¿Por qué? Falta de herramientas y soporte, no porque los modelos sean malos.
🏛️ ¿Por qué los gobiernos quieren esto?
El modelo de frontera (Fable 5) estuvo "apagado" 19 días por regulación de EE.UU. Nadie que dependiera de él pudo hacer nada.
Lección del informe: puedes apagar un modelo, pero no puedes quitar una copia que ya corre en tu propia máquina. Esa es la magia de tener los pesos.
Empresas grandes están quemándose con la facturación por uso: Uber se gastó el presupuesto anual de IA en 4 meses.
China está descargando más modelos abiertos que nadie, y los está regalando a propósito como estrategia política.
Otros países (UE, Canadá, India, Reino Unido) también están invirtiendo fuerte en IA "soberana".
💰 Sígueme el dinero
Nvidia compró Hugging Face por casi $13 mil millones y Stripe se llevó OpenRouter por ~$7.5 mil millones.
O sea: hasta los gigantes ya entendieron el valor de lo abierto..
Ironía: los modelos abiertos dominan el uso pero capturan solo el 4% de los ingresos. El dinero sigue yendo a los cerrados.
🔧 El nuevo campo de batalla: no el modelo, sino el arnés
Aquí viene lo interesante: el modelo ya no es el negocio. La batalla ahora es por el arnés: el software que lo rodea (lo que conecta al modelo con herramientas, memoria, permisos, etc.).
Es como cuando navegadores lucharon por controlar el acceso a la web.
Problema actual: casi nadie controla bien lo que hacen los agentes de IA (qué pueden comprar, borrar o enviar sin pedir permiso).
Un caso brutal: cuando Hugging Face sufrió un ciberataque, las IAs cerradas se negaron a ayudar con la investigación... y fue un modelo abierto autoalojado el que resolvió el forense.
🔒 El nuevo candado: la memoria
Truco nuevo de lock-in: ya no te atan con el modelo (eso se abarató), sino con tu memoria, historial y caché que se acumulan del lado del proveedor.
Cambiar de proveedor significa perder todo ese contexto acumulado.
Aparte, hay acusaciones de que modelos chinos (Kimi K3) aprendieron de datos de Claude. Hay señales sospechosas, pero nadie ha presentado pruebas concretas.
🎯 ¿Qué deberías hacer? (las 6 apuestas)
Que puedas cambiar el harness fácilmente (como cambiar de navegador).
Que existan permisos claros y portátiles para lo que hace un agente.
Guardar tu memoria/contexto en formatos tuyos, no del proveedor.
Romper el medidor: ten plan B antes de que suban los precios.
Sé dueño del entrenamiento de tus modelos.
Que lo abierto sea diverso, no que dependamos de un solo país (spoiler: ahora mismo, casi todo lo abierto viene de China).
59 min
September 21#361 – Roadmap de WordPress 7.2
Síguenos en:
Hoy comentamos las novedades para la nueva versión de WordPress 7.2 prevista para finales de año.
¿Qué tal la semana?
Semana esther
Dos páginas más de clientes que dejan WordPress
Dándole vueltas a “Tranquilidad Code”
Semana Nahuai
Actualización de los plugins de OsomPress a revisados hasta WordPress 7.1
Nuevas “movidas” con las acciones de Codeberg
Intentando descubrir de donde venía un fallo de un formulario de Gravity Forms
Activar el registro de Gravity Forms + Wordfence bloqueaba el pago de la URL 🤷🏻‍♂️
Novedades
Presentan el nuevo tema por defecto que vendrá con la versión de WordPress 7.2
Introducing Ipsum, the new default theme – Make WordPress Core
WooCommerce retoma la idea del starter theme, que había abandonado/pausado hace unos meses:
https://developer.woocommerce.com/2026/09/15/purple/
Ya tenemos roadmap para WordPress 7.2
https://make.wordpress.org/core/2026/09/18/roadmap-to-7-2/
35 min
September 14#360 – Cierre de Código Genesis
Síguenos en:
Hoy comentamos el cierre de Código Genesis a nuevos suscriptores después de 8 años y otras cosillas de nuestras últimas semanas.
¿Qué tal la semana?
Semana esther
Bloques personalizados ACF v2 y v3 - acf-blocks-v2-iframe-compatibility
Actualizando plantillas para Events Calendar de un theme antiguo discontinuado com Claude
Semana Nahuai
Poniendo a punto la conexión Claude - WordPress con el MCP
Convirtiendo un tema hijo de Genesis en uno de bloques
Usando la app de Claude con Ollama.
Mejorando el código para añadir un botón que lleve al portal de Stripe
Peleándome con la micro caché del hosting y wp_safe_redirect vs wp_redirect
Añadiendo medidas extra de seguridad después de las iteraciones
Subiendo mis instalaciones de WordPress a PHP 8.4
Mejorando el combo Osom Command Palette + Osom Central Manager
Diferencias sutiles entre “Vaciar papelera” y “Vaciar carpeta”
Peleándome con la caché de WP Rocket (incluso una vez desinstalado) porque había una capa extra de Varnish en el servidor. Descubriendo “?test”.
Investigando un cambio en FluentCRM y Fusion WP que hizo que un sistema de etiquetado (y desetiquetado) dejara de funcionar.
Dando cierre a la etapa de Código Genesis.
Novedades
A Matt le dan un empujón para que deje de ser CEO
https://www.404media.co/wordpress-automattic-ceo-matt-mullenweg-put-on-leave-of-absence
Matt vuelve a ser el CEO activo:
https://techcrunch.com/2026/09/11/matt-mullenweg-tells-automattic-staff-in-slack-hes-back-in-control-after-ceo-ouster/
Menciones
Comentario de Elias, lentitud y/o criterio a la hora de implementar cambios de WP. Y sensación de que la IA le puede comer la tostada
44 min
September 07#359 – Qué esperar del WP Agency Forum 2026
Síguenos en:
Hoy tenemos a Héctor de Prada (co-fundador y CEO de Modular DS) y Juanma Rodriguez (country manager de Siteground).
Después de la experiencia del evento del año pasado:
¿Qué os motivó a repetir?
¿Qué cosas habéis querido mejorar, mantener o cambiar?
¿Qué formato y ponentes tendrá el evento de este año?
¿Alguna anécdota que queráis comentar sobre la organización del evento, elección de ponentes…
¿Qué modalidades de atender hay?
¿Qué le diríais a una persona que está dudando en si atender o no al evento?
Descuento: 20-freelandev o haz clic directamente aquí para que aplique el descuento.
Episodio de Juan del año pasado:
https://freelandev.com/podcast/322-wp-agency-forum-con-juan-hernando/
30 min
August 31#358 – Vuelta al cole en Freelandev
Síguenos en:
Después de unas semanitas de vacaciones, volvemos a nuestra rutina de lunes comentando nuestras batallas con WordPress, IA, plugins y malwares.
¿Qué tal la semana?
Semana esther
Vuelta relativamente tranquila sin mucho movimiento de clientes
Acompañando a Pablo y Ana en el último episodio de UBAC
Semana Nahuai
Limpiando mi primer ataque de malware, que, por supuesto, me pilló viajando al inicio de mis vacaciones.
Actualizando a 7.1 (problema de con WP Rocket)
Poniendo a punto el combo Zed + Ollama (cloud)
La app de claude code también se puede usar solo con Ollama
Modelos de pesos abiertos muy capaces (GLM 5.2, GLM 5.3) y con buen rendimiento (GLM 5.3 Flash y Deepseek V4 Flash)
Petición de clienta para implementar cambios de diseño creados con Claude Code
Novedades
WP Agency Forum el proximo 7 de octubre en Madrid. Ya puedes conseguir tus entradas. Y la semana que viene tendremos a Reyes y Héctor para contarnos más detalles sobre el evento.
Último episodio de UBAC después de viaje de 360º.
Menciones
Elías comenta que sigue usando WordPress pero que se siente cada vez más desconectado de las últimas novedades del editor. Y da el ejemplo de la galería.
36 min
August 17#357 – Novedades de WordPress 7.1
Síguenos en:
Para que no nos echéis tanto de menos durante las vacaciones, os traemos un episodio con todas las novedades de la nueva versión de WordPress 7.1
¿Qué tal la semana?
Semana esther
De vacaciones ✈️✈️
Semana Nahuai
Avanzando en plugin de WordPress para mostrar el carbon.txt
Detectando estructura de versiones anteriores
Añadiendo la opción de copiar al cortapapeles y descargar archivo al desactivar el plugin
Implementando la validación mediante la API de GWF
Creando un plugin que use Osom Command Palette para gestionar actualizaciones (integrado con Raycast)
Tema de la semana: WordPress 7.1
🧱 Mejoras editor de bloques y del sitio (Gut 22.7-23.6)
🧱 Nuevo bloque de Playlist
🧱 Nuevo bloque de Tabs
🧱 Bloque HTML con bloques editables anidados
🧱 Transformaciones de bloques a variaciones específicas (un solo paso)
🧱 Galerías dinámicas con imágenes adjuntas al post
🧱 Mejoras bloque de navegación (Login/Logout en submenús, enlaces desde vista de lista, Home Link)
🧱 Query Loop permite excluir el post actual
🧱 Mejoras en la experiencia de edición de patrones
📱 Estilos responsivos por viewport sin CSS
📱 Breakpoints personalizables en theme.json
🎨 Estados interactivos (:hover, :focus, :active) en Global Styles
🎨 Soporte de text-shadow en Global Styles
🎨 Soporte de anchura mínima para dimensiones de bloques
🎨 Esquema de color del admin respetado en el editor del sitio
🎨 Sección de Identidad dedicada en el editor del sitio (logo, favicon, título, tagline)
🌄 Procesamiento de medios en el navegador
🌄 Soporte HEIC, UltraHDR, AVIF y WebP integrado
🌄 Conversión de GIF a vídeo (archivos más ligeros)
🌄 Nuevo modal de editor de medios
🌄 Scroll infinito en la biblioteca de medios
🖋 Barra de admin persistente en todos los editores (Omnibar)
⌨️ Paleta de comandos reorganizada (recientes, sugeridos, coincidencias)
🕐 Revisiones visuales mejoradas
🗯️ Notes con texto enriquecido, @menciones y notas inline en selección de texto
🗯️ Múltiples notas por bloque + separador de resueltas
📧 Notificaciones por email en @menciones de Notes
🔗 Revisiones compartibles (enlaces a revisiones específicas)
👩🏻‍💻 Editor de posts siempre en iframe
👩🏻‍💻 SVG Icon API pública
👩🏻‍💻 Mejoras Abilities API
👩🏻‍💻 Block Bindings para List Item e inner blocks
👩🏻‍💻 Connectors: autenticación con usuario y application password
👩🏻‍💻 Mejoras Interactivity API
👩🏻‍💻 Nuevos 20 hooks (19 filtros y 1 acción)
📚 jQuery UI actualizado a 1.14.2
🔎 +46 mejoras de accesibilidad (contraste, semántica, teclado, foco)
👀 310+ tickets de Core cerrados
🐛 180+ bugs arreglados (Core)
🐛 630+ bugs arreglados (Gutenberg)
+600 mejoras de Gutenberg
🫂 +[por confirmar] voluntarios 👏
Menciones
Jesús Yesares se pasa por los comentarios a decir que flipó lo que le pasó a Esther (lo de que el cliente le pasara un código creado por IA), pero cree que seguramente pasará cada vez más.
También nos comparte un plugin que ha creado para Leaflet Map. El plugin crea un bloque que permite configurar todos lo parámetros desde la UI.
42 min
July 27#356 – Incidencias varias con WooCommerce
Síguenos en:
Aunque la carga de trabajo suele bajar el mes de julio, seguimos teniendo incidencias y temas varios a cerrar antes de las vacaciones.
¿Qué tal la semana?
Semana esther
Maquetaciones chulas con bloques nativos y algo de CSS y JS
WordPress con WooCommerce sustituidos por código a medida (sin CMS, IA?) sin previo aviso
Semana Nahuai
Peleándome para arreglar cambios derivados de WooCommerce
La integración para enviar el NIF del cliente a Contasimple se rompió
Un campo oculto usando WooCommerce Checkout Manager volvió a aparecer
Creando la primera versión del plugin WordPress Carbon.txt
Preparando la nueva versión de Simple Social Icons (SSI) que incorpora nuevos iconos
Publicando un tutorial en el que explico cómo añadir iconos personalizados a SSI.
Resolviendo un problema de emails duplicados de restablecimiento de contraseña causado por WooCommerce. Es snippet:
Novedades
WordPress 7.0.1 y 7.0.2 liberadas: https://wordpress.org/documentation/wordpress-version/version-7-0-2/
Tip de la semana
Informe de Mozilla sobre el estado de la IA de código abierto:
https://stateofopensource.ai
27 min

About Freelandev - Vivir del desarrollo en WordPress

From the publisher's feed

¿Emprender online como desarrollador WordPress? Aprende a gestionar tu negocio digital con esther solà y Nahuai Badiola, freelancers y desarrolladores WordPress especializados en Genesis Framework y…