Cómo encontrar plugins de WordPress desactualizados con vulnerabilidades conocidas
Respuesta corta: haz una lista de todos los plugins con su versión instalada y la más reciente (Escritorio → Actualizaciones, o wp plugin list --update=available), busca cada uno en una base de datos pública de vulnerabilidades como Wordfence Intelligence, WPScan o Patchstack, actualiza o elimina lo que sea vulnerable, y borra los plugins cerrados o que ya no se mantienen.
Pasos rápidos
- Lista plugins y versiones. Usa Escritorio → Actualizaciones o WP-CLI para ver las versiones instaladas y disponibles.
- Busca vulnerabilidades conocidas. Busca cada plugin en una base de datos pública de vulnerabilidades de WordPress.
- Actualiza o elimina. Actualiza los plugins vulnerables; elimina los que no tengan solución o que no uses.
- Encuentra plugins abandonados. Revisa la página de cada plugin en WordPress.org por si tiene aviso de cierre y mira su última actualización.
- Activa las actualizaciones automáticas. Actívalas para los plugins en los que confías y guarda copias de seguridad.
El código y la configuración se mantienen en inglés.
1. Lista plugins y versiones
En el panel de administración, Escritorio → Actualizaciones muestra todo lo que tiene una actualización. Con acceso por shell, WP-CLI es más rápido:
wp plugin list --fields=name,status,version,update_version
wp plugin list --update=available
wp theme list --update=available
wp core check-update2. Busca vulnerabilidades conocidas
Busca el slug de cada plugin en una base de datos pública. Cada entrada indica las versiones afectadas y la versión que lo corrige:
- Wordfence Intelligence
- Base de datos de vulnerabilidades de WordPress de WPScan
- Base de datos de Patchstack
3. Actualiza o elimina
- Primero haz una copia de seguridad y luego actualiza. Después prueba el pago, los formularios y el inicio de sesión.
- Si no hay una versión corregida, desactiva y borra el plugin y busca una alternativa.
- Los plugins desactivados siguen siendo archivos en tu servidor. Borra lo que no uses.
wp plugin update --all --dry-run
wp plugin update contact-form-7
wp plugin delete hello-dolly4. Encuentra plugins cerrados o abandonados
Abre la página de cada plugin en WordPress.org. Un plugin cerrado muestra un aviso y ya no recibe correcciones. Un plugin que lleva años sin actualizarse, o que no se ha probado con versiones recientes de WordPress, es un riesgo aunque no tenga una vulnerabilidad publicada.
5. Comprueba que no se han modificado archivos
wp core verify-checksums
wp plugin verify-checksums --allSi hay archivos del núcleo o de plugins modificados, puede que el sitio ya esté comprometido. Consulta cómo saber si han hackeado tu WordPress.
6. Activa las actualizaciones automáticas
Desde WordPress 5.5 puedes activar las actualizaciones automáticas plugin por plugin desde la pantalla Plugins. Actívalas para los plugins bien mantenidos y guarda copias de seguridad diarias para poder volver atrás.
Lo que puede ver un análisis remoto
El análisis gratuito de HackGrade detecta los plugins, temas y la versión del núcleo que revelan tus páginas públicas (por ejemplo, mediante rutas de archivos y cadenas de versión) y los compara con datos públicos de vulnerabilidades. Los plugins que no dejan rastro en las páginas públicas no se pueden ver desde fuera, así que la lista de WP-CLI de arriba es la completa.
Preguntas frecuentes
¿Es seguro actualizar todos los plugins a la vez?
Suele estar bien, pero haz antes una copia de seguridad y prueba después las páginas clave. En una tienda con mucho tráfico, actualiza los plugins de uno en uno.
¿Desactivar un plugin vulnerable me protege?
En parte. A algunos archivos vulnerables todavía se puede acceder directamente. Borra los plugins que no uses.
¿Cómo sé si una vulnerabilidad se está explotando de verdad?
Bases de datos como Wordfence Intelligence y Patchstack indican la explotación activa, y CISA incluye las CVE explotadas en su catálogo KEV. Trátalas como urgentes.