WordPress no es inseguro: sus plugins, a veces sí

«WordPress es inseguro» es una de las frases que más oigo cuando un cliente duda entre WordPress y otra plataforma. Los datos dicen otra cosa: el núcleo de WordPress apenas da problemas. Lo que abre la puerta a los atacantes es casi siempre lo que le instalamos encima, y ahí es donde se juega la seguridad en WordPress.

En este artículo repaso los datos del último informe anual de Patchstack, te explico por qué la forma tradicional de mantener una web ya no es suficiente y comparto, paso a paso, la rutina que sigo en las webs que mantengo.

En resumen: el 91 % de las vulnerabilidades nuevas de WordPress en 2025 estaban en plugins. Casi la mitad no tenía parche cuando se hicieron públicas, y las más atacadas se explotaron en cuestión de horas. La seguridad depende de qué instalas y de cómo lo mantienes: pocos plugins, bien elegidos, con copias diarias y avisos de vulnerabilidades.

Lo que dice el informe de Patchstack

Patchstack es una empresa especializada en vulnerabilidades de WordPress que gestiona los avisos de seguridad de más de 1.000 plugins, entre ellos Elementor y WP Rocket. En febrero de 2026 publicó su informe anual con los datos de 2025.

• Se descubrieron 11.334 vulnerabilidades nuevas en el ecosistema WordPress, un 42 % más que el año anterior.
• El 91 % estaba en plugins y el 9 % en temas. En el núcleo de WordPress solo se encontraron 6, todas de baja prioridad.
• El 46 % de los fallos no tenía parche del desarrollador cuando se hicieron públicos.
• En las vulnerabilidades más atacadas, la mediana hasta la explotación masiva fue de 5 horas.
• Los plugins y temas de pago tuvieron tres veces más vulnerabilidades explotadas activamente que los gratuitos.

Qué significan estos datos para tu web

La primera conclusión es tranquilizadora: el problema no es WordPress en sí. Un núcleo con solo seis fallos menores en un año es un software muy sólido. La segunda conclusión es menos cómoda: cada plugin que instalas añade código de un tercero, con su propio ritmo de actualizaciones y su propio nivel de calidad.

Dicho de forma sencilla: la seguridad de tu web es la del plugin más descuidado que tengas instalado.

Por qué «actualizo una vez al mes» ya no basta

Si un fallo empieza a atacarse a las pocas horas de publicarse, revisar la web una vez al mes deja semanas de exposición. Y como casi la mitad de los fallos no tiene parche al hacerse público, actualizar tampoco es siempre suficiente: a veces no hay nada que actualizar todavía.

El informe también desmonta otra idea habitual: pagar por un plugin no garantiza que sea más seguro. Los componentes de pago reciben menos revisión externa, porque los investigadores de seguridad tienen más difícil acceder a su código.

Y hay un dato que preocupa especialmente a las tiendas online: los ataques con subida de archivos maliciosos casi se triplicaron en noviembre y diciembre, justo en la temporada de más ventas y con los equipos de vacaciones. Si tienes una tienda con WooCommerce, es el peor momento para descuidar el mantenimiento.

Cómo mejorar la seguridad en WordPress

Estas son las medidas que aplico en las webs que mantengo, ordenadas de más a menos impacto:

1. Menos es más. Quito cualquier plugin que no se use. Cada plugin instalado es una puerta más, aunque esté desactivado.
2. Plugins con mantenimiento activo. Antes de instalar nada, reviso la fecha de la última actualización, las valoraciones y cómo responde el desarrollador.
3. Actualizaciones de seguridad automáticas, siempre con copia de seguridad diaria guardada fuera del servidor.
4. Avisos de vulnerabilidades sobre lo que tiene instalado cada web, para reaccionar en horas y no en semanas.
5. Usuarios y permisos mínimos: cada persona con el rol justo, contraseñas fuertes y doble factor para los administradores.

Cómo elegir un plugin sin jugártela

Antes de instalar cualquier plugin, dedico cinco minutos a estas preguntas:

• ¿Lo necesito de verdad? Muchas funciones se resuelven con lo que ya trae el tema o con unas líneas de código.
• ¿Cuándo se actualizó por última vez? Si lleva más de seis meses sin cambios, desconfío.
• ¿Es compatible con mi versión de WordPress y de PHP?
• ¿Cómo responde el desarrollador en el foro de soporte? Un desarrollador que contesta rápido suele corregir rápido.
• ¿Cuántas instalaciones activas tiene? No es garantía, pero un plugin muy usado recibe más atención.

Qué hacer si tu web ya ha sido atacada

Si ves contenido extraño, redirecciones a otras webs, usuarios que no conoces o un aviso de Google sobre software malicioso, actúa en este orden:

1. Cambia las contraseñas de WordPress, del hosting y de la base de datos.
2. Restaura una copia de seguridad limpia, anterior al ataque.
3. Actualiza todo y elimina los plugins que no uses.
4. Revisa los usuarios administradores y borra los que no reconozcas.
5. Si Google marcó tu web, solicita una revisión en Search Console cuando esté limpia.

Sin copia de seguridad, la limpieza es mucho más lenta y cara. Por eso la copia diaria fuera del servidor es la medida más rentable de todas.

La seguridad es mantenimiento, no una configuración

La seguridad de una web no es una configuración que se hace una vez. Es un mantenimiento. WordPress publica versiones con frecuencia y cada actualización importante merece un poco de método. Si quieres ver cómo lo hago con las versiones grandes, lo explico en cómo actualizar WordPress 7.0 sin sustos.

Checklist mensual de mantenimiento

Además de los avisos en tiempo real, una revisión mensual tranquila evita sorpresas. Esta es la lista que repaso en cada web:

• Comprobar que las copias de seguridad se están haciendo y que se pueden restaurar (probar una restauración de vez en cuando).
• Revisar los plugins instalados y eliminar los que ya no se usan.
• Comprobar la versión de PHP del hosting y si hay una más reciente compatible.
• Repasar los usuarios con acceso al escritorio y quitar los que ya no trabajan en la web.
• Revisar Search Console por si Google ha detectado problemas de seguridad o errores.
• Verificar que el certificado SSL está activo y que la web carga siempre con https.

Qué debería incluir un buen servicio de mantenimiento

Si no tienes tiempo de hacerlo tú, es habitual delegarlo. Para comparar servicios, pregunta siempre por estos puntos:

• Frecuencia de las copias y dónde se guardan. Deben estar fuera del servidor de la web.
• Tiempo de reacción ante una vulnerabilidad crítica: horas, no semanas.
• Pruebas antes de actualizar en webs con tienda o formularios importantes.
• Un informe periódico claro: qué se actualizó, qué incidencias hubo y qué se recomienda.
• Restauración incluida si algo sale mal, sin costes sorpresa.

Un buen mantenimiento no se nota: la web simplemente funciona. Por eso conviene saber qué incluye antes de que haga falta.

Preguntas frecuentes

¿Es más seguro Wix o Shopify que WordPress?

Son plataformas cerradas donde la empresa controla todo el código, así que hay menos piezas de terceros. A cambio, tienes menos control y flexibilidad. Un WordPress bien mantenido y con pocos plugins de calidad es muy seguro.

¿Cuántos plugins son demasiados?

No hay un número mágico. La pregunta útil es si cada plugin hace algo que necesitas y si está bien mantenido. Diez plugins de calidad son más seguros que cinco abandonados.

¿Basta con el antivirus del hosting?

Ayuda, pero no es suficiente. El propio informe de Patchstack muestra que las defensas generales de los hostings bloquean solo una parte de los ataques específicos de WordPress.

¿Las actualizaciones automáticas pueden romper la web?

Puede pasar, sobre todo con versiones grandes. Por eso las combino con copias diarias: si algo falla, se vuelve atrás en minutos. Para los parches de seguridad, el riesgo de no actualizar es mayor que el de actualizar.

¿Sabes cuántos plugins tiene tu web y si están al día? Te ayudo a revisarlo.

Fuente

• Patchstack: State of WordPress Security in 2026

Etiquetas: Mantenimiento web, Plugins, Seguridad