# Plugins de WordPress vulnerables: cómo saber si los tuyos tienen fallos

> Cómo saber si los plugins y temas de tu WordPress tienen fallos publicados, por qué una web «actualizada» se hackea igual y qué hacer con un plugin sin parche.

URL: https://webintacta.com/guias/plugins-wordpress-vulnerables
Última actualización: 2026-10-23

**En resumen:** La mayoría de los WordPress hackeados que reviso entraron por un plugin o un tema con un fallo publicado, no por el núcleo. Para saber si los tuyos están afectados, saca la lista de plugins y temas con su versión exacta, también los desactivados, y búscala en una base de vulnerabilidades como WPScan, Wordfence Intelligence o Patchstack. Tener todo «al día» en el panel no basta: un plugin cerrado en WordPress.org, abandonado, de pago con la licencia caducada o descargado de una web «nulled» no recibe parches aunque el panel no avise.


Por Jose Soriano (WebIntacta) · publicada el 2026-10-23

«Pero si lo tengo todo actualizado.» Es lo que más oigo cuando llega un WordPress hackeado, y casi siempre es verdad a medias: el panel decía que no había nada pendiente, pero había un plugin que ya no recibe actualizaciones, uno de pago con la licencia caducada o uno desactivado que nadie borró. Esta guía explica cómo comprobar de verdad los plugins y temas de tu web, sin depender de lo que diga el aviso de actualizaciones.

## Por qué una web «actualizada» se hackea igual

El aviso de actualizaciones de WordPress solo sabe de lo que tiene una versión nueva disponible. Hay cinco casos en los que un plugin vulnerable no sale nunca en ese aviso:

- **Plugins cerrados en WordPress.org.** Cuando el directorio cierra un plugin por un fallo de seguridad sin corregir, deja de ofrecer versiones nuevas. Tu panel no muestra nada pendiente porque no hay nada que instalar.
- **Plugins abandonados.** El autor dejó de mantenerlo. Sigue funcionando, pero los fallos que se descubran a partir de ahora no tendrán arreglo.
- **Plugins de pago con la licencia caducada.** Elementor Pro, WPML, ACF Pro o las extensiones de WooCommerce se actualizan desde los servidores de su autor y solo con una licencia activa. Sin ella, el plugin se queda en su versión, con sus fallos.
- **Copias «nulled».** Un plugin de pago descargado gratis de una web de terceros no se actualiza nunca y, además, muchas veces trae una puerta trasera de serie.
- **Plugins incluidos en el tema.** Algunos temas comerciales traen dentro un plugin (un slider, un constructor de páginas) que solo se actualiza cuando el autor del tema publica una versión nueva.

Y hay un sexto caso que no tiene que ver con las actualizaciones: **un plugin desactivado sigue en el servidor**. Muchos fallos se aprovechan llamando directamente a los archivos del plugin, así que desactivarlo no lo protege. Lo que no uses, bórralo.

## Paso 1: saca la lista real de plugins y temas

En el panel, **Plugins → Plugins instalados** muestra cada plugin con su versión, activos y desactivados. Revisa también **Apariencia → Temas**: los temas que no usas también cuentan. Y mira con el gestor de archivos del hosting la carpeta `wp-content/mu-plugins/`, porque los plugins que van ahí («must-use») no salen en el listado normal.

Con acceso SSH y WP-CLI es más rápido, y además te dice el estado de cada plugin en WordPress.org y cuándo se actualizó por última vez allí, que es la forma más rápida de detectar los cerrados y los abandonados:

```
wp plugin list --fields=name,status,version,update_version,wporg_status,wporg_last_updated
wp theme list --fields=name,status,version,update_version
wp plugin list --status=must-use
```

Apunta el **nombre técnico** de cada plugin (el de su carpeta en `wp-content/plugins/`, que es lo que sale en la columna `name`), no el nombre comercial: es lo que vas a buscar en las bases de vulnerabilidades.

## Paso 2: cruza la lista con las bases de vulnerabilidades

Hay tres bases públicas, gratuitas para consultar, que recogen los fallos de plugins y temas de WordPress con la versión afectada y la corregida:

- **[WPScan](https://wpscan.com/)**, de Automattic. Es la que usa Jetpack Protect.
- **[Wordfence Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/)**, de Wordfence.
- **[Patchstack](https://patchstack.com/database/)**. Es la que usa Solid Security para su parcheo virtual.

Busca cada plugin por su nombre técnico y compara tu versión con las afectadas. Si tu versión está dentro del rango y existe una corregida, actualiza. Si no hay versión corregida, pasa al paso 3. Para el núcleo de WordPress, lo sensato es estar siempre en la última versión; las actualizaciones menores, que son las de seguridad, se instalan solas por defecto salvo que alguien lo haya desactivado.

> Los plugins de seguridad (Wordfence, Solid Security, Jetpack Protect) hacen este cruce de forma automática y te avisan. Es lo más útil que hacen para una web pequeña. Lo que no hacen es decidir por ti qué hacer con un plugin sin parche ni decirte si ya lo han usado para entrar. La comparación está en [qué plugin de seguridad elegir](https://webintacta.com/guias/mejor-plugin-seguridad-wordpress).

## Paso 3: si un plugin tuyo tiene un fallo sin arreglo

1. **Si no lo necesitas, bórralo.** Desactivar no basta: elimínalo desde el panel o borra su carpeta de `wp-content/plugins/`.
2. **Si lo necesitas, sustitúyelo** por otro mantenido que haga lo mismo. Haz el cambio con una [copia de seguridad](https://webintacta.com/guias/copia-de-seguridad-wordpress) previa y compruébalo en una copia de la web si es una tienda.
3. **Mientras decides,** un cortafuegos con parcheo virtual (el de un plugin de seguridad o el de tu hosting o CDN) puede frenar los ataques conocidos contra ese fallo. Es una medida temporal, no un arreglo.
4. **Revisa si ya han entrado.** Si el fallo era grave y lo tuviste meses expuesto, actualizar cierra la puerta pero no echa a quien ya esté dentro. Las señales, en [cómo saber si tu WordPress está hackeado](https://webintacta.com/guias/como-saber-si-mi-wordpress-esta-hackeado).

## Actualizaciones automáticas: sí, con copia

Desde WordPress 5.5 puedes activar las actualizaciones automáticas plugin a plugin y tema a tema, desde la columna **Actualizaciones automáticas** de la pantalla de plugins. WordPress las ejecuta dos veces al día y te manda un correo con el resultado. En una web corporativa sencilla, activarlas en los plugins bien mantenidos reduce mucho el tiempo que pasas expuesto. En una tienda, mejor actualizar a mano o con alguien que pruebe el pago después, porque una actualización que rompe el carrito cuesta ventas.

En los dos casos, la condición es la misma que pide la documentación de WordPress: tener una copia automática reciente y saber restaurarla.

## Cada cuánto revisarlo

- **Cada semana:** actualizaciones pendientes y avisos del plugin de seguridad. Los fallos se publican y se empiezan a aprovechar en días.
- **Cada mes:** la lista completa con WP-CLI o desde el panel, para ver plugins cerrados, abandonados o sin licencia.
- **Cada vez que instales algo:** mira cuándo se actualizó por última vez, cuántas instalaciones tiene y si su autor responde en el foro de soporte. Cuantos menos plugins, menos puertas.

## Si prefieres que lo revise yo

El [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) detecta desde fuera la versión de WordPress y los plugins que se ven públicamente, y los cruza con los fallos publicados. Para la lista completa, con los desactivados y los que no se ven desde fuera, está la [auditoría de seguridad de WordPress](https://webintacta.com/auditoria-seguridad-web#auditoria-wordpress) con el [conector de solo lectura](https://webintacta.com/conector) (129 €, IVA no incluido). Y si prefieres no tener que pensar en ello, el [mantenimiento WordPress](https://webintacta.com/mantenimiento-wordpress) (35 €/mes, sin permanencia) incluye las actualizaciones supervisadas con copia previa y la sustitución de los plugins abandonados. El resto de medidas para proteger WordPress, en [seguridad WordPress](https://webintacta.com/seguridad-wordpress).

## Fuentes

- [WP-CLI: wp plugin list](https://developer.wordpress.org/cli/commands/plugin/list/) (campos `update_version`, `wporg_status` y `wporg_last_updated`, y el estado `must-use`).
- [WordPress: actualizaciones automáticas de plugins y temas](https://wordpress.org/documentation/article/plugins-themes-auto-updates/) (desde WordPress 5.5, dos veces al día, con aviso por correo y recomendación de tener copias automáticas).
- [WordPress.org: normas del directorio de plugins](https://developer.wordpress.org/plugins/wordpress-org/detailed-plugin-guidelines/) (un plugin con problemas de seguridad se cierra hasta que se resuelven).
- [WordPress: must-use plugins](https://developer.wordpress.org/advanced-administration/plugins/mu-plugins/) (se cargan siempre y no aparecen en el listado normal).
- Bases de vulnerabilidades: [WPScan](https://wpscan.com/), [Wordfence Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/) y [Patchstack](https://patchstack.com/database/).

## Preguntas frecuentes

### ¿Por qué me han hackeado el WordPress si lo tenía todo actualizado?

Porque el aviso de actualizaciones solo muestra lo que tiene versión nueva. Un plugin cerrado en WordPress.org, abandonado, de pago con la licencia caducada o desactivado pero sin borrar puede tener un fallo publicado sin que el panel diga nada. También puede que te atacaran en los días entre la publicación del fallo y tu actualización.

### ¿Cómo sé si un plugin de WordPress tiene vulnerabilidades?

Busca su nombre técnico (el de la carpeta en wp-content/plugins/) en WPScan, Wordfence Intelligence o Patchstack y compara tu versión con las afectadas. Un plugin de seguridad hace ese cruce de forma automática.

### ¿Basta con desactivar un plugin vulnerable?

No. Sus archivos siguen en el servidor y muchos ataques los llaman directamente. Hay que actualizarlo o borrarlo.

### ¿Qué hago si un plugin está cerrado en WordPress.org?

Si el cierre es por seguridad y no hay versión corregida, sustitúyelo por otro mantenido o bórralo. Mientras tanto, un cortafuegos con parcheo virtual puede frenar los ataques conocidos, pero no es una solución.

### ¿Es seguro activar las actualizaciones automáticas?

En una web corporativa con plugins bien mantenidos, sí, siempre que tengas copias automáticas y sepas restaurarlas. En una tienda, mejor actualizar con alguien que pruebe el pago después.

## Sobre el autor

[Jose Soriano](https://webintacta.com/quien-soy): Desarrollador fullstack especializado en PrestaShop, WordPress y WooCommerce, con el curso y el examen oficiales de PrestaShop aprobados. Desarrolla tiendas online y módulos desde 2023 y es el fundador de WebIntacta, el servicio de seguridad web con el que analiza, limpia y mantiene él mismo webs de pymes y tiendas online, en remoto desde Ibi (Alicante). Datos de WebIntacta: https://webintacta.com/quien-soy#datos