Por qué los plugins de gestión de archivos vulnerables siguen provocando hackeos en WordPress

Si mantienes suficientes sitios WordPress, empiezas a reconocer la misma categoría de plugin apareciendo en un compromiso tras otro. Los plugins de gestión de archivos encabezan esa lista. Son populares porque resultan útiles. Y son peligrosos porque entregan una capacidad muy poderosa a cualquiera que pueda alcanzarlos. Históricamente, varios de los gestores de archivos más instalados han tenido vulnerabilidades críticas que permitían la ejecución remota de código sin autenticación.

Este artículo explica por qué los plugins de gestión de archivos son un vector de ataque tan constante, analiza un compromiso real y reciente de una agencia de Sídney atribuido a uno de ellos y propone alternativas más seguras.

Qué hacen los plugins de gestión de archivos

Un plugin de gestión de archivos de WordPress ofrece a los administradores un explorador de archivos basado en web dentro del panel. Desde el panel de administración puedes navegar por directorios, editar archivos, subir nuevos, cambiar permisos y, en algunos casos, ejecutar comandos del lado del servidor. El caso de uso es la comodidad: puedes arreglar un archivo problemático sin necesitar credenciales SFTP ni una herramienta de transferencia de archivos aparte.

El problema es que esta capacidad es tan poderosa que cualquier fallo en el plugin le da a un atacante exactamente la misma capacidad. Si el plugin tiene una vulnerabilidad que permite que una petición eluda la comprobación de administrador, al atacante se le ha entregado de hecho una web shell con acceso completo al sistema de archivos.

El historial

La familia wp-file-manager en particular tiene un historial largo y bien documentado de vulnerabilidades críticas. La más famosa fue CVE-2020-25213, una ejecución remota de código sin autenticación en la biblioteca elFinder incluida, que afectó a millones de sitios y fue explotada a gran escala. Desde entonces se han publicado varios avisos posteriores para distintos forks y versiones incluidas.

Esto no es exclusivo de un único plugin ni de un único autor. Toda la categoría sufre el mismo problema. Las bibliotecas de gestión de archivos incluidas son grandes, complejas y difíciles de mantener a la vez completas en funciones y seguras. Cuando se descubre una vulnerabilidad en la biblioteca de origen, esta se propaga a cada plugin de WordPress que la incorpora.

Un caso reciente de una agencia de Sídney

En mayo de 2026 auditamos el sitio de una agencia de Sídney que había sido comprometido. La auditoría forense identificó quince archivos maliciosos depositados en la raíz del documento, organizados en cinco directorios que imitaban los nombres de páginas reales de WordPress. Los archivos maliciosos implementaban un ataque de cloaking de SEO, sirviendo contenido de spam a Googlebot mientras servían HTML de páginas puente a los visitantes humanos.

El principal sospechoso como punto de entrada era un plugin de gestión de archivos desactualizado que se había instalado y olvidado. El plugin no se había actualizado. La familia del plugin tenía múltiples avisos históricos de ejecución remota de código. El mecanismo por el que se depositaron los archivos maliciosos fue casi con certeza la explotación de una de esas vulnerabilidades. El cambio preventivo de mayor impacto para ese sitio habría sido eliminar el plugin por completo antes del compromiso.

Por qué la gente instala estos plugins en primer lugar

La motivación es siempre la misma. Alguien necesitaba arreglar un archivo, no tenía SFTP configurado e instaló un gestor de archivos desde el directorio de plugins. El plugin funcionó, se hizo el arreglo y el plugin se quedó instalado. Cinco años después, el problema original quedó en el olvido y el plugin sigue activo.

La comodidad que motivó la instalación era una necesidad puntual. La superficie de ataque que creó es permanente mientras el plugin siga en el sitio.

Qué usar en su lugar

Para casi todos los casos de uso que resuelve un plugin de gestión de archivos existe una alternativa más segura.

SFTP. Todo proveedor de alojamiento WordPress de buena reputación ofrece acceso SFTP. Un cliente gratuito como FileZilla o Cyberduck te da la misma capacidad de explorar y editar archivos sin exponerla a la web pública. La autenticación ocurre en la capa SSH, no como un endpoint de plugin.

El panel de control del alojamiento. La mayoría de los proveedores incluyen un gestor de archivos integrado en su panel de control, accesible solo tras autenticarte en tu cuenta de alojamiento. Esto es mucho más seguro que un plugin de WordPress porque la ruta de acceso no está en la URL pública del sitio.

SSH y wp cli. Para usuarios técnicos, el acceso por línea de comandos a tu servidor te ofrece todo lo que hace un gestor de archivos y más, sin ningún plugin expuesto a la web.

El editor integrado de temas y plugins de WordPress, si no hay más remedio. El propio WordPress incluye un editor básico para los archivos de temas y plugins. No es tan completo como un plugin de gestión de archivos, y la buena práctica es desactivarlo en wp-config.php con DISALLOW_FILE_EDIT, pero cubre el caso habitual de editar un archivo concreto sin añadir superficie de ataque de plugins.

Si de verdad necesitas un plugin de gestión de archivos

Si tu flujo de trabajo realmente requiere un plugin de gestión de archivos, trátalo como una herramienta privilegiada. Instálalo solo en los sitios donde sea genuinamente necesario. Mantenlo actualizado de inmediato en cada versión. Restringe su acceso con medidas adicionales, como listas blancas de IP o autenticación HTTP básica en la capa del servidor. Desactívalo o desinstálalo en el momento en que deje de ser necesario.

Sobre todo, no lo dejes activo en un sitio que no se ha tocado en meses. Un plugin de gestión de archivos inactivo es un incidente futuro a la espera de ocurrir.

La lección más amplia

Los plugins de gestión de archivos son el ejemplo más claro de un principio más general. La comodidad y la seguridad están en tensión. Todo lo que te da una capacidad poderosa a través de la URL de tu sitio es también un objetivo poderoso si tiene un fallo. El principio se aplica a los plugins de copia de seguridad con restauración basada en web, a los plugins de seguridad con escaneo completo del sistema de archivos y a cualquier herramienta que exponga acciones del lado del servidor a peticiones autenticadas.

Para cada una de ellas, pregúntate si la capacidad necesita vivir en el sitio o si puede vivir en un lugar más seguro. A menudo la respuesta es el lugar más seguro, y el plugin de WordPress puede eliminarse por completo.

¿Necesitas ayuda?

Si tienes un plugin de gestión de archivos en tu sitio WordPress y no estás seguro de si todavía lo necesitas, el equipo de Defyn puede revisar tu flujo de trabajo, configurar alternativas más seguras y eliminar el plugin de forma limpia, cerrando una de las puertas más grandes que usan los atacantes en los sitios WordPress.