Te llega un correo de tu plugin de seguridad, o ves una noticia: «Vulnerabilidad crítica en el plugin X afecta a 500.000 sitios». El corazón se acelera. ¿Te hackearon? ¿Hay que borrar el plugin? Calma: con cinco preguntas sabrás exactamente qué hacer.
Primero, qué es una vulnerabilidad
Es un error en el código de un plugin, tema o del propio WordPress que podría permitir a alguien hacer algo que no debería: ver datos, cambiar contenido o tomar el control del sitio. Que exista una vulnerabilidad no significa que tu sitio fue atacado. Significa que hay una puerta que conviene cerrar.
Las partes de una alerta
Las alertas suelen venir de bases de datos como las de Wordfence, Patchstack o WPScan, y casi todas tienen estos datos:
- Nombre del plugin o tema. Verifica que sea exactamente el tuyo: hay plugins con nombres muy parecidos.
- Versiones afectadas. Por ejemplo, «<= 2.4.1» significa «la 2.4.1 y todas las anteriores».
- Versión corregida (patched o fixed in). Por ejemplo, «2.4.2». Si dice «sin corrección» o «no fix», es más grave.
- Tipo de vulnerabilidad. Más abajo te explico los más comunes.
- Puntaje CVSS. Un número del 0 al 10 que indica la gravedad.
- CVE. Un código como
CVE-2025-12345. Es solo un identificador único para que todos hablen del mismo problema.
Las cinco preguntas
1. ¿Tengo ese plugin instalado?
Ve a Plugins y búscalo. Revisa también los desactivados: un plugin desactivado sigue teniendo sus archivos en el servidor y, en algunos casos, puede ser atacado igual. Si no lo usas, bórralo.
2. ¿Mi versión está afectada?
Debajo del nombre del plugin aparece «Versión X.Y.Z». Compárala con las versiones afectadas. Si la tuya es igual o mayor a la versión corregida, ya estás protegida o protegido.
3. ¿Qué tan grave es?
- CVSS 9 a 10 (crítica): actúa hoy mismo.
- CVSS 7 a 8,9 (alta): actúa hoy o mañana.
- CVSS 4 a 6,9 (media): actualiza en los próximos días.
- Menos de 4 (baja): actualiza en tu próxima ronda normal.
4. ¿Quién puede aprovecharla?
Busca frases como estas:
- «Unauthenticated» / «no autenticado»: cualquier persona en internet puede aprovecharla. Es lo más peligroso.
- «Authenticated (Subscriber+)»: necesita una cuenta de suscriptor o superior. Importa mucho si tu sitio permite registrarse, como un foro o una tienda.
- «Authenticated (Administrator+)»: necesita ser administrador. El riesgo real es bajo, porque un administrador ya puede hacer casi todo.
En un sitio con foro abierto al registro, las vulnerabilidades «Subscriber+» o «Contributor+» importan más de lo que parece: cualquiera puede crear una cuenta de suscriptor.
5. ¿Existe una corrección?
- Sí: actualiza el plugin. Ese es el 95 % de los casos.
- No: desactívalo y bórralo hasta que salga una corrección, o reemplázalo por otro. Si es imprescindible, consulta si tu plugin de seguridad o firewall ofrece una regla que bloquee el ataque mientras tanto.
Los tipos de vulnerabilidad más comunes, en simple
- XSS (Cross-Site Scripting): permite meter código JavaScript en una página. Puede robar sesiones de quien la visite.
- SQL Injection: permite leer o cambiar la base de datos.
- CSRF: engaña a un administrador para que, sin saberlo, haga una acción al visitar un enlace.
- Escalada de privilegios: un usuario con pocos permisos puede convertirse en administrador.
- Subida de archivos arbitraria / RCE: permite subir o ejecutar código en el servidor. Suele ser de las más graves.
¿Y si sospecho que ya me atacaron?
Algunas señales: usuarios administradores que no creaste, redirecciones a otros sitios, archivos PHP raros en la carpeta de subidas o avisos de Google. En ese caso, actualizar no basta: hay que limpiar. Revisa usuarios, cambia contraseñas, escanea el sitio y, si no te sientes segura o seguro, pide ayuda antes de seguir.
Cómo enterarte a tiempo
- Activa las actualizaciones automáticas en los plugins que confíes (en Plugins, enlace «Activar actualizaciones automáticas»).
- Usa un plugin de seguridad que te avise por correo cuando un plugin instalado tenga una vulnerabilidad conocida.
- Revisa Escritorio → Actualizaciones al menos una vez por semana.
¿Te llegó una alerta y no sabes si te afecta? Pégala en el foro junto con la versión que tienes instalada y te ayudamos a decidir qué hacer.
