Uncategorized

Seguridad en WordPress en 2026: por qué el verdadero riesgo está en los plugins

El núcleo de WordPress rara vez es el punto débil. Los plugins sí lo son, y los atacantes pueden moverse en cuestión de horas después de conocerse una falla. La respuesta práctica es tener menos plugins, actualizaciones automáticas donde sean seguras, copias de seguridad probadas, accesos más fuertes y un responsable claro del mantenimiento, en lugar de suponer que tu hosting lo cubre todo.

¿Qué tan grande es el problema?

Los datos públicos más detallados vienen de State of WordPress Security in 2026, de Patchstack. Patchstack vende productos de seguridad para WordPress, así que léelo con eso en mente, aunque publica sus métodos.

  • 11.334 vulnerabilidades nuevas se reportaron en el ecosistema WordPress en 2025, 42% más que en 2024.
  • 91% estaba en plugins y 9% en temas.
  • Solo 6 estaban en el núcleo de WordPress, todas de baja prioridad.
  • 46% no tenía solución del desarrollador en el momento de hacerse pública.

Más vulnerabilidades reportadas no significa automáticamente más sitios hackeados. Una mejor investigación y más búsqueda de fallas también elevan el conteo. Aun así, lo útil es el desglose: tu riesgo depende mucho más de lo que instalas que de WordPress en sí.

¿Qué tan rápido actúan los atacantes?

Más rápido que una visita de mantenimiento mensual. Patchstack reporta que cerca de la mitad de las vulnerabilidades de alto impacto se explotó en 24 horas, y una mediana ponderada de 5 horas hasta la explotación masiva entre las fallas más atacadas. Estos tiempos se miden desde que se desplegó su propia regla de mitigación hasta el primer intento de ataque observado, así que describen sus datos y no todos los sitios de la web.

Nuestra conclusión es que “actualizamos los plugins una vez al mes” ya no es un plan de seguridad completo para un sitio importante para tu negocio.

¿Mi hosting no me protege?

En parte, y debes preguntar cómo. En las pruebas de penetración de Patchstack, las defensas de los hostings bloquearon 12% de los ataques específicos a WordPress en la primera prueba y 26% de los ataques totales en una segunda prueba más amplia. Otra vez, es un proveedor evaluando un mercado en el que compite. Basta para justificar una pregunta directa a tu hosting: ¿qué bloquean a nivel de aplicación WordPress y qué queda bajo mi responsabilidad?

¿Qué recomienda el propio WordPress?

La guía de endurecimiento de WordPress, actualizada en octubre de 2026, cubre lo principal:

  • Mantén WordPress en la última versión, ya que las anteriores dejan de recibir correcciones de seguridad.
  • Mantén los plugins actualizados y elimina los que no uses.
  • Instala plugins solo del repositorio de WordPress.org o de empresas reconocidas.
  • Activa la autenticación en dos pasos.
  • Haz copias de seguridad regulares, incluida la base de datos, y conserva copias periódicas de antes de cualquier posible intrusión.

Fíjate en lo de las copias periódicas. Si un ataque pasa inadvertido durante semanas, la copia de anoche puede contener la misma infección.

¿Conviene activar las actualizaciones automáticas?

Para la mayoría de los sitios de pequeñas empresas, creemos que sí en casi todos los plugins, con una copia de seguridad lista. Desde la versión 5.5, WordPress permite a los administradores activar actualizaciones automáticas plugin por plugin y tema por tema. De forma predeterminada, estas actualizaciones se ejecutan dos veces al día y avisan por correo, algo mucho más acorde con los tiempos anteriores que una visita mensual. WordPress también sugiere asegurarte de poder volver atrás antes de activarlas.

Hay dos límites. Las actualizaciones a veces rompen cosas, así que trataríamos con más cuidado los plugins críticos, como pagos o reservas, y usaríamos una copia de pruebas cuando sea posible. Y actualizar no ayuda cuando no existe un parche, como ocurría con el 46% anterior al hacerse pública la falla. Por eso vale la pena considerar menos plugins y un firewall.

¿Qué debe incluir una rutina de mantenimiento realista?

Esta es la rutina que recomendamos para el sitio típico de una pequeña empresa. Ajústala a tu riesgo.

Cada día (automatizado)

  • Actualizaciones automáticas funcionando, con alertas a alguien que las lea
  • Copias de seguridad automáticas guardadas fuera del servidor web
  • Monitoreo de disponibilidad y malware

Cada mes

  • Revisa la lista de plugins. Elimina lo que no uses y cuestiona lo que ya tenga una función equivalente incorporada.
  • Busca plugins abandonados, incluidos los que ya no reciben actualizaciones.
  • Elimina cuentas antiguas y confirma que los administradores usan autenticación en dos pasos.
  • Comprueba que tus formularios siguen enviando contactos después de las actualizaciones.

Cada trimestre

  • Restaura una copia en un sitio de prueba. Una copia que nunca restauraste es una suposición.
  • Revisa quién tiene acceso al hosting, al dominio y a WordPress.
  • Vuelve a medir la velocidad, ya que los plugins también pueden afectarla.

Antes de comprar cualquier plugin

Haz cuatro preguntas simples. ¿De verdad lo necesitamos? ¿Quién lo mantiene? ¿Cuándo se actualizó por última vez? ¿Unas líneas de código o una función existente podrían hacer lo mismo? Menos piezas móviles significa menos que parchear.

¿WordPress sigue siendo una opción segura?

Creemos que sí, cuando se mantiene. Sigue siendo por mucho el CMS más común, ya que funciona en 58,2% de los sitios con CMS conocido, según W3Techs. Esa popularidad lo hace un objetivo atractivo, a nuestro juicio. Pero con solo seis vulnerabilidades del núcleo reportadas en 2025, la plataforma no suele ser el problema. Lo son los complementos sin gestionar.

Elegir una plataforma alojada elimina parte de este trabajo, y para sitios muy simples puede ser lo correcto. Pero no hace desaparecer todas las preguntas de seguridad, y a cambio cedes algo de control.

Preguntas frecuentes

¿Cómo sé si hackearon mi sitio WordPress?

Las señales incluyen cuentas de administrador desconocidas, redirecciones extrañas, páginas de spam en Google, avisos de seguridad en navegadores o Search Console y cambios inesperados en archivos. Si ves alguna, busca ayuda antes de borrar cosas, para que se encuentre la causa y no solo el síntoma.

¿Basta con un plugin de seguridad gratuito?

Puede ser una capa útil, pero añade otro plugin que mantener y no reemplaza actualizaciones, copias ni accesos fuertes. Júzgalo por lo que realmente bloquea.

¿Los plugins premium son más seguros que los gratuitos?

El precio por sí solo no lo dice. Mira el historial de actualizaciones del desarrollador, cómo maneja los reportes de seguridad y cuándo publicó su última corrección. WordPress aconseja limitarse a su repositorio o a empresas reconocidas.

¿Quién debe ser responsable de la seguridad?

Una persona o proveedor con nombre, por escrito. Muchos problemas empiezan cuando el dueño cree que el hosting se encarga, el hosting cree que lo hace el desarrollador y el desarrollador terminó el proyecto hace años.

¿No sabes quién cuida tu sitio?

JONTI Code Design diseña y desarrolla sitios WordPress desde San José, Costa Rica, y trabaja en inglés y español en GMT-6. Si quieres ayuda para revisar tus plugins, copias de seguridad y accesos, escríbenos a info@jonti.co.cr.

Fuentes