WordPress mueve una parte enorme de la web, y eso lo convierte en objetivo. El problema casi nunca es WordPress en sí: son los plugins y temas que nadie actualiza.
Las cifras de 2025
Según el informe anual de Patchstack (State of WordPress Security in 2026):
- Se descubrieron 11.334 vulnerabilidades nuevas en el ecosistema WordPress, un 42 % más que el año anterior.
- El 91 % estaban en plugins y el 9 % en temas. En el núcleo de WordPress solo hubo 6, y de baja prioridad.
- El 46 % no tenía parche del desarrollador cuando se hizo pública.
- En las vulnerabilidades más atacadas, la mediana hasta la explotación masiva fue de 5 horas.
- Los componentes premium (los de los marketplaces de plantillas) acumularon el triple de vulnerabilidades explotadas que los gratuitos.
Traducido: una web con plugins sin actualizar no está esperando a ser atacada; probablemente ya la están probando bots automáticos.
Por qué las webs del Kit Digital y similares son tan vulnerables
Muchas se construyeron con plantillas premium y una pila de plugins de maquetación, y después nadie volvió a tocarlas. Plugins duplicados, versiones con años de retraso, usuarios administradores olvidados, el acceso a /wp-login.php abierto a cualquiera… Es la receta habitual.
Qué hacer
Actualizar, pero con método
Actualizar es imprescindible, pero hacerlo a ciegas puede romper la maquetación, sobre todo con constructores visuales y saltos de versión grandes. Lo correcto: copia completa, actualización de uno en uno y revisión después de cada paso.
Quitar lo que sobra
Cada plugin instalado es una puerta. Los que no se usan, fuera; los abandonados por su desarrollador, sustituidos.
Endurecer
Ocultar la versión, proteger el acceso de administración, revisar usuarios, añadir cabeceras de seguridad y bloquear el acceso a ficheros sensibles. Son medidas sencillas que cierran muchas puertas.
Vigilar
Con explotaciones en cuestión de horas, la seguridad no es una tarea de una vez: es un mantenimiento continuo.
¿No sabes en qué estado está tu WordPress? Hacemos un diagnóstico sin tocar nada y te decimos qué hay que arreglar.
Pedir diagnósticoSi ya notas cosas raras, como redirecciones o avisos de Google, lee nuestra guía sobre qué hacer si tu web está hackeada.
Preguntas frecuentes
¿Basta con actualizar los plugins?
Es imprescindible, pero no suficiente: en 2025 casi la mitad de las vulnerabilidades se publicaron sin parche disponible. Hay que combinar actualizaciones, limpieza de plugins, endurecimiento y vigilancia.
¿Actualizar puede romper mi web?
Puede, sobre todo con constructores visuales y saltos de versión grandes. Por eso conviene hacerlo con copia previa, de uno en uno y revisando la web después de cada actualización.