Los plugins más peligrosos en WordPress son, en ese orden: los que dan acceso directo al servidor sin autenticación adicional (WP File Manager es el caso más documentado), los que llevan más de seis meses sin actualización activa, los que están duplicados con otro que hace la misma función, y los que están instalados pero desactivados sin que nadie recuerde para qué estaban. En el caso de Coaching for Business, una web WordPress con varios años de vida, los tres primeros tipos estaban presentes al mismo tiempo. En el primer mes después de sanearla, el sistema de seguridad registró 74 intentos de acceso no autorizado bloqueados. Este artículo explica cómo auditar tu lista de plugins hoy mismo y qué hacer con cada tipo de problema.
Por qué los plugins son el principal vector de ataque en WordPress
WordPress por sí solo —el núcleo de WordPress— tiene un historial de seguridad razonablemente bueno. El equipo de seguridad oficial lo actualiza con regularidad y las vulnerabilidades críticas del núcleo son relativamente raras y se parchean rápido.
El problema es el ecosistema. WordPress tiene más de 60.000 plugins en su directorio oficial. Cada plugin es un software desarrollado y mantenido por un tercero, con sus propios estándares de calidad, su propio ritmo de actualizaciones y su propio historial de vulnerabilidades. Cuando instalas un plugin, no solo añades funcionalidad: añades código de alguien que no conoces, que puede tener bugs, que puede dejar de mantenerse, y que puede tener vulnerabilidades que los atacantes conocen antes que tú.
Los ataques a webs WordPress raramente apuntan al núcleo de WordPress. Apuntan a plugins específicos con vulnerabilidades conocidas. Según los informes anuales de Wordfence Threat Intelligence, más del 90% de las vulnerabilidades de WordPress reportadas cada año están en plugins o temas, no en el núcleo.
Una web WordPress típica tiene entre 10 y 30 plugins activos. Cuantos más plugins, más superficie de ataque. El objetivo no es tener cero plugins: es tener solo los necesarios, actualizados, sin duplicados y sin herramientas de administración olvidadas en producción.
Los cuatro tipos de plugins que deberías revisar
1. Plugins de acceso directo al servidor
Son el riesgo más grave. Ciertos plugins permiten explorar, editar o ejecutar archivos del servidor directamente desde el panel de WordPress, sin ninguna autenticación adicional más allá del login de WordPress. Están pensados para facilitar el trabajo técnico durante el desarrollo, no para quedarse activos en una web en producción.
El ejemplo más documentado es WP File Manager. CVE-2020-25213 fue una vulnerabilidad crítica (puntuación CVSS 10/10, la máxima) que permitía a cualquier visitante no autenticado subir archivos arbitrarios al servidor. Los ataques automatizados que escanean la red buscando instalaciones con este plugin activo son rutinarios: hay bots que lo buscan las 24 horas, todos los días.
Pero WP File Manager no es el único. Plugins como Adminer (gestor de base de datos desde el navegador), ciertos plugins de FTP, o herramientas de diagnóstico que dejan rutas públicas activas son igualmente problemáticos cuando se olvidan instalados.
La regla es simple: ningún plugin que dé acceso al servidor, a la base de datos o al sistema de archivos debería estar activo en una web en producción. Son herramientas de trabajo que se instalan para hacer algo puntual y se eliminan en cuanto está hecho.
2. Plugins sin actualizar (el riesgo invisible)
Un plugin sin actualizar no significa que esté roto. Puede seguir funcionando exactamente igual que el primer día. El problema es que, mientras tanto, pueden haberse descubierto y publicado vulnerabilidades en esa versión que los atacantes ya conocen y tú no.
Las vulnerabilidades de plugins se publican en bases de datos públicas como WPScan. Cuando una vulnerabilidad se documenta y se hace pública, los sistemas de ataque automatizados la incorporan en cuestión de días. Si tu plugin lleva seis meses sin actualizar y tiene una vulnerabilidad conocida, puede haber bots que lleven semanas buscándola en tu web.
El criterio práctico: si un plugin lleva más de seis meses sin ninguna actualización en el repositorio oficial de WordPress y lo sigues usando activamente, vale la pena buscar si hay vulnerabilidades publicadas en ese período. Más de un año sin actualización es una señal de alerta seria.
La otra cara del mismo problema son los plugins abandonados: software cuyos desarrolladores han dejado de mantenerlo sin avisar. WordPress marca como "no probado con las últimas versiones" los plugins que llevan mucho tiempo sin actualización, pero no los retira automáticamente del directorio.
3. Plugins duplicados
Son más comunes de lo que parece, y casi nadie los instala a propósito. La historia habitual es esta: el técnico que montó la web usó un plugin de SEO. Después otro técnico, o el propio propietario siguiendo un tutorial, instaló otro plugin de SEO diferente. Los dos están activos en paralelo. Nadie lo nota porque todo parece funcionar.
El problema es doble. Primero, los conflictos: dos plugins que hacen lo mismo en paralelo generan comportamientos difíciles de diagnosticar (páginas que no indexan bien, formularios cuyos mensajes no llegan, imágenes que tardan más de lo normal). Segundo, el rendimiento: cada plugin activo añade carga al servidor en cada visita, y dos plugins haciendo el mismo trabajo lo hacen sin ningún beneficio adicional.
En la web de Coaching for Business encontramos tres pares de duplicados activos al mismo tiempo:
- Dos plugins de SEO: Yoast SEO + AIOSEO
- Dos plugins de correo SMTP: WP Mail SMTP + Easy WP SMTP
- Plugin de caché en conflicto con la caché del servidor: WP Fastest Cache activo sobre un servidor CDMon que ya tiene Varnish integrado
Ninguno se había instalado con mala intención. Habían ido acumulándose con el tiempo, con distintos técnicos o con actualizaciones del tema que vienen con plugins preinstalados. Pero el efecto combinado se notaba: correos que no llegaban, conflictos de metadatos en búsquedas, y la caché del servidor y la caché del plugin trabajando en sentidos contrarios en lugar de sumar.
4. Plugins instalados y desactivados
WordPress distingue entre plugins instalados y plugins activos. Un plugin desactivado no ejecuta código cuando alguien visita la web, así que no supone riesgo de rendimiento directo. Pero sí supone un riesgo de seguridad.
Cuando un plugin tiene una vulnerabilidad conocida, el atacante puede intentar explotarla aunque el plugin esté desactivado: el código sigue presente en el servidor y hay rutas que pueden seguir siendo accesibles. Además, un plugin desactivado es un plugin que nadie recuerda actualizar, lo que significa que sus vulnerabilidades se acumulan en silencio.
La norma es: si no usas un plugin, elimínalo, no lo desactives. Desactivar es una medida provisional cuando estás probando algo. Eliminar es la decisión definitiva. Si después resulta que hacía falta, puedes reinstalarlo; pero en la práctica, eso casi nunca ocurre.
El caso real: lo que encontramos en Coaching for Business
Coaching for Business es una web de coaching profesional que llevaba varios años funcionando en WordPress con distintos técnicos que habían ido haciendo cambios. Cuando nos encargamos del mantenimiento, la primera tarea fue documentar el estado real antes de tocar nada.
Lo que encontramos en la lista de plugins:
| Problema | Plugin | Tipo de riesgo |
|---|---|---|
| Acceso al sistema de archivos del servidor | WP File Manager | Crítico — vector de ataque documentado |
| Dos plugins de SEO activos en paralelo | Yoast SEO + AIOSEO | Conflictos de metadatos, doble carga |
| Dos plugins de correo activos en paralelo | WP Mail SMTP + Easy WP SMTP | Correos que no llegan, configuración inconsistente |
| Plugin de caché en conflicto con el servidor | WP Fastest Cache + Varnish del hosting | Caché doble que ralentiza en lugar de acelerar |
Lo primero fue eliminar WP File Manager antes de cualquier otra acción, porque es el riesgo más inmediato. Después, la limpieza de plugins duplicados. Todo eso antes de tocar el rendimiento.
Resultado del primer mes después del saneamiento: 74 intentos de acceso no autorizado bloqueados por el cortafuegos Wordfence, y 2.245 registros de historial eliminados de la base de datos.
Los 74 intentos de acceso no son una anomalía. Son la línea base de cualquier web WordPress con tráfico real. La diferencia entre una web saneada y una con WP File Manager activo es que en una el atacante encuentra un cortafuegos; en la otra, una puerta abierta.
Cómo auditar tu lista de plugins en 20 minutos
Este es el proceso práctico para hacer una auditoría básica:
Paso 1. Abre el panel de WordPress → Plugins → Plugins instalados
Verás todos los plugins instalados, estén activos o no. En "Opciones de pantalla" (esquina superior derecha) puedes activar la columna "Última actualización" para ver cuándo fue la última versión publicada de cada uno.
Paso 2. Identifica los de acceso al servidor
Busca nombres como: WP File Manager, Adminer, phpMyAdmin, File Manager Advanced, cualquier plugin que mencione "FTP", "File Browser" o "Remote Access". Si los ves y no los estás usando activamente para una tarea puntual, elimínalos hoy.
Paso 3. Marca los que llevan más de 6 meses sin actualizar
Para cada plugin activo, busca su nombre en el directorio oficial de WordPress y comprueba la fecha de la última actualización. Si aparece el aviso "No probado con las últimas X versiones de WordPress", tómalo en serio.
Paso 4. Busca duplicados por función
Las categorías más habituales de duplicados:
- SEO (Yoast, AIOSEO, Rank Math, SEOPress — solo uno)
- Caché (WP Fastest Cache, W3 Total Cache, WP Super Cache — solo uno, y solo si tu hosting no tiene caché integrada)
- Formularios (Contact Form 7, WPForms, Gravity Forms — solo uno)
- Copias de seguridad (UpdraftPlus, Duplicator, BackupBuddy — solo uno)
- Seguridad (Wordfence, iThemes Security, Sucuri — solo uno)
- Correo SMTP (WP Mail SMTP, Easy WP SMTP, FluentSMTP — solo uno)
Paso 5. Revisa los plugins desactivados
Para cada plugin desactivado: ¿sabes para qué estaba? ¿lo vas a volver a activar? Si la respuesta a ambas es no, elimínalo.
Paso 6. Actualiza todo lo que tenga actualización pendiente
Antes de actualizar en masa, haz una copia de seguridad completa. Las actualizaciones de plugins raramente rompen cosas, pero si algo falla, necesitas poder volver atrás.
Qué hacer cuando encuentras un plugin de riesgo
Si es de acceso al servidor (WP File Manager, Adminer, etc.): Elimínalo directamente. No necesitas alternativa. Si alguien lo instaló para hacer algo puntual y ya lo hizo, no tiene ningún motivo para seguir ahí.
Si está sin actualizar y tiene alternativa más moderna: Desactívalo, instala la alternativa, comprueba que la función sigue cubierta, y después elimina el anterior. Nunca elimines sin verificar que tienes la función cubierta.
Si es un duplicado: Decide cuál de los dos vas a mantener (el más actualizado, el más compatible con tu versión de WordPress, el que ya tienes mejor configurado). Desactiva el otro, comprueba que todo sigue funcionando durante unos días, y después elimínalo.
Si está desactivado y no sabes para qué era: Elimínalo. Si después resulta que hacía falta, puedes reinstalarlo. En la práctica, eso casi nunca pasa.
Cuándo el problema no es uno solo sino el conjunto
Lo más habitual en webs con años de historia no es encontrar un único plugin crítico. Es encontrar una acumulación de decisiones pequeñas que han ido sumando:
- Un plugin de caché instalado cuando el hosting no tenía caché propia, y que nadie desinstalió cuando el hosting actualizó su infraestructura.
- Un plugin de SEO instalado por el técnico original y otro que vino con el tema y nadie desactivó.
- Una herramienta de diagnóstico instalada para resolver un problema hace dos años y olvidada desde entonces.
El resultado no es un único plugin crítico (aunque eso también puede estar, como en el caso de CFB). Es una web que funciona peor de lo que debería, que carga más lento, que consume más recursos del servidor, y que tiene más superficie de ataque de la necesaria.
La solución no es una operación de emergencia: es una revisión periódica. Una vez al año, revisar qué plugins hay, por qué están, y si siguen siendo necesarios. Es el equivalente digital de ordenar los archivadores de la oficina.
Si tienes WordPress y llevas tiempo sin hacer esa revisión, el servicio de gestión web de Kronexia incluye la auditoría técnica inicial y el mantenimiento mensual: actualizaciones, monitorización de seguridad y limpieza periódica.
Preguntas frecuentes sobre plugins peligrosos en WordPress
¿Cuántos plugins debería tener una web WordPress?
No hay un número mágico, pero menos es más. Una web de empresa de 5-8 páginas puede funcionar perfectamente con 8-12 plugins bien elegidos y actualizados. Webs con 25-30 plugins activos casi siempre tienen duplicados, herramientas olvidadas o funcionalidades que se podrían cubrir de otra forma. La pregunta no es "¿cuántos plugins tengo?" sino "¿cada plugin activo está cumpliendo una función necesaria que no cubre ya otro plugin?"
¿Es peligroso WP File Manager si tengo la web actualizada?
WP File Manager tiene historial de vulnerabilidades críticas —CVE-2020-25213 fue la más conocida, con puntuación CVSS 10/10—, y aunque en versiones actualizadas esas vulnerabilidades concretas estén parcheadas, la premisa del plugin es estructuralmente arriesgada: da acceso al sistema de archivos del servidor desde el navegador. Si lo necesitas para tareas puntuales de mantenimiento, úsalo, haz lo que tengas que hacer, y después elimínalo. No lo dejes activo de forma permanente.
¿Tengo que actualizar los plugins en cuanto sale una actualización?
Sí, pero con una precaución: haz siempre una copia de seguridad antes de actualizar en masa. Las actualizaciones de plugins raramente rompen cosas, pero puede ocurrir, especialmente con plugins que interactúan mucho con el tema o entre sí. Lo ideal es actualizar en horas de poco tráfico y comprobar el sitio después.
¿Qué pasa si elimino un plugin por error y deja de funcionar algo?
Si tienes una copia de seguridad reciente, puedes restaurarla y volver al punto anterior. Si no tienes copia de seguridad, es más complicado —aunque en muchos casos se puede reinstalar el plugin y recuperar la función. Esta es una de las razones por las que las copias de seguridad automáticas son parte esencial del mantenimiento WordPress, no un extra opcional.
¿Un plugin con buenas valoraciones en WordPress.org puede ser peligroso?
Sí. Las valoraciones miden la experiencia de uso, no la seguridad. Un plugin puede tener cuatro estrellas porque hace bien su función y aun así tener vulnerabilidades publicadas en su historial. La fuente correcta para evaluar la seguridad de un plugin es el historial de vulnerabilidades en WPScan o en el repositorio de WordPress bajo la pestaña "Historial de cambios".
¿Los plugins de pago son más seguros que los gratuitos?
No necesariamente. Los plugins de pago tienen un modelo que incentiva las actualizaciones (el desarrollador depende de las renovaciones), lo que tiende a producir más consistencia. Pero la calidad del código depende del equipo que lo desarrolla, no del precio. Hay plugins gratuitos excelentes con historial impecable y plugins de pago con vulnerabilidades documentadas.
¿Cómo sé si mi web ya ha sido comprometida por un plugin inseguro?
Las señales más habituales: redirecciones inesperadas a otras webs, contenido que no pusiste tú (texto spam, enlaces a sitios desconocidos), correos enviados desde tu dominio sin que los hayas enviado, o el panel de WordPress que no carga correctamente. Si tienes Wordfence instalado, el escáner de malware detecta archivos modificados o código sospechoso. Si no tienes ninguna herramienta de seguridad y sospechas de un compromiso, es el momento de pedir una auditoría técnica.
¿WordPress es inseguro por naturaleza, o el problema son los plugins?
El problema son los plugins, no WordPress en sí. El núcleo de WordPress tiene un equipo de seguridad dedicado y actualizaciones frecuentes. Si solo usaras WordPress sin ningún plugin, sería una plataforma bastante segura. El riesgo escala con cada plugin que añades, especialmente si no se mantiene actualizado. Esto no significa que no debas usar plugins —son lo que hace a WordPress tan flexible—, sino que hay que ser selectivo y mantener la lista limpia y al día.