El insostenible estado del repositorio de plugins de WordPress con el auge de la IA

700 envíos por semana. Ese es el récord que ha marcado el Plugins Team de WordPress.org a mediados de 2026, y la cifra no ha parado de subir desde 2024.

La cifra en sí ya dice bastante, pero el ritmo de crecimiento dice más todavía. En 2024 se manejaban entre 100 y 150 envíos semanales. A finales de 2025 ya se superaban los 300. En marzo de 2026 se pasó de los 500. Y ahora, en pleno julio, estamos en 700, un 2.7 veces más que en 2025.

#De dónde viene la avalancha

El desarrollo asistido por IA ha bajado la barrera de entrada a niveles que hace tres años parecían impensables. Un nombre habitual en el equipo de revisión, ha atribuido buena parte del incremento del 87% interanual en 2025 precisamente a desarrolladores que generan código con estas herramientas a una velocidad que antes ni se planteaban.

Cualquiera que haya seguido de cerca este ecosistema sabe que la cantidad de código nunca ha sido el problema real. El problema es la cantidad de código sin nadie detrás que responda por él cuando algo falla.

#El cementerio de plugins que ya existe hoy

Aquí no hace falta imaginar un escenario futuro. Ya está pasando. Un proyecto de rastreo independiente calcula que aproximadamente el 59% de todos los plugins del repositorio lleva más de dos años sin recibir ni una actualización.

Un snapshot académico de junio de 2026 va más lejos y cuantifica el riesgo real: 176 plugins con más de 10.000 instalaciones activas cada uno, todos sin actualizar en dos años o más, que juntos suman cerca de 4,93 millones de instalaciones activas corriendo código huérfano. Vamos, que no hablamos de plugins marginales con tres usuarios; hablamos de piezas con presencia real en sitios de producción.

La empresa de seguridad Patchstack ha llegado a cerrar cerca de mil plugins en un solo mes, afectando a 7,1 millones de instalaciones. El equipo de revisión hace limpieza, sí. Pero limpiar a ese ritmo contra una cinta que produce 700 piezas nuevas por semana es empezar la carrera con quince minutos de retraso.

#Qué está haciendo .org al respecto, de verdad

La respuesta oficial hasta ahora ha sido puramente de personal: tres revisores nuevos incorporados y la reapertura de la convocatoria para colaboradores, según ha confirmado el propio Plugins Team en su blog oficial. No he encontrado ningún hilo oficial en Make WordPress ni ninguna propuesta formal sobre una tasa de envío, ni siquiera en fase de debate preliminar. Si existe esa conversación, se está teniendo en canales internos que no son públicos, así que aquí me muevo con la incertidumbre calibrada de quien no ha visto el documento, no con una negación categórica.

Resulta curioso —por no decir un poco preocupante— que la única palanca que se está moviendo sea la de sumar manos humanas a un problema que crece con la aceleración de una máquina. Añadir tres revisores frente a un incremento del 2.7x interanual lo noto insuficiente.

#Por qué una tasa de envío choca con el ethos del proyecto

La idea de una pequeña tasa de envío tiene lógica económica: introduce fricción justo donde hace falta, sin bloquear a quien realmente pretende mantener su plugin. Pero WordPress.org ha construido toda su identidad sobre la gratuidad y la apertura del repositorio.

Cualquier propuesta de cobro, aunque sea simbólica, tocaría una fibra sensible dentro de la comunidad de contribuidores. No sería solo una discusión técnica; sería una discusión de valores fundacionales del proyecto, y esas discusiones en WordPress suelen alargarse años antes de llegar a ningún sitio.

#Caso real: un cliente con un plugin de SEO sin actualizar desde 2022

Hace unos meses tuve que auditar un sitio con tráfico decente que arrastraba un plugin de SEO sin ninguna actualización desde 2022. Funcionaba, aparentemente sin problemas.

Mi primera reacción fue pensar que, si no daba error visible, no había prisa por tocarlo. Cometí el error de creer que «funciona» y «es seguro» eran lo mismo.

Lo que saltó a la vista al revisar el changelog —que reconozco que casi nadie se molesta en leer hasta que hay un incidente— fue que ese plugin llevaba dos versiones mayores de PHP sin soporte confirmado por el autor. El autor, por cierto, llevaba sin responder en el foro de soporte desde hacía dieciocho meses.

#¿Es esto un problema real para tu sitio o solo para el ecosistema?

• Si dependes de plugins con pocas instalaciones y sin actualizaciones recientes, el riesgo de seguridad es directo y medible.
• Si trabajas con plugins de gran adopción y mantenimiento activo, el ruido del repositorio te afecta poco en el día a día, aunque sí encarece la búsqueda de alternativas cuando algo se abandona.
• Si recomiendas WordPress a clientes que vienen de plataformas cerradas, la percepción de «repositorio saturado» sí juega en tu contra en la conversación de venta.

#¿Pero es tan grave como parece, o es alarmismo?

Hay matices que conviene no perder de vista. El propio hecho de que el equipo esté publicando estas cifras con transparencia, y sumando revisores en tiempo récord, indica que no están mirando hacia otro lado.

Dicho esto, la aritmética no engaña. Añadir revisores es una función lineal contra un crecimiento que, de momento, se comporta como exponencial. Si la tendencia de los últimos dos años se mantiene, la brecha entre entradas y capacidad de revisión no se va a cerrar sola.

Esto lo escribo en julio de 2026, con la cifra de 700 envíos semanales recién publicada por el propio Plugins Team. Si lees esto dentro de unos meses, comprueba la cifra actualizada en Make WordPress: a este ritmo, es fácil que el número ya haya cambiado, y no precisamente a la baja.