Si preguntas a cualquier agencia o investigador de seguridad qu\u00e9 causa la mayor\u00eda de las brechas en WordPress, obtendr\u00e1s siempre la misma respuesta. Los plugins. No el n\u00facleo de WordPress, ni el servidor, ni las contrase\u00f1as robadas. Los plugins. La raz\u00f3n es sencilla. Solo en el repositorio oficial hay cerca de 60.000 plugins, con miles m\u00e1s vendidos de forma privada, y todos se ejecutan con acceso completo de PHP a tu sitio. Cuando uno de ellos tiene un fallo de seguridad y no lo actualizas, tienes una puerta conocida abierta en tu servidor.<\/p>\n
Este art\u00edculo analiza por qu\u00e9 los plugins desactualizados son un problema tan constante, c\u00f3mo se explotan las vulnerabilidades en la pr\u00e1ctica y qu\u00e9 puedes hacer para que tu sitio no forme parte de las estad\u00edsticas del mes que viene.<\/p>\n
Cada plugin que instalas a\u00f1ade c\u00f3digo que se ejecuta como parte de tu sitio de WordPress. Ese c\u00f3digo puede leer tu base de datos, escribir archivos en tu servidor, enviar correos, llamar a APIs externas y ejecutar comandos. Cuando el c\u00f3digo est\u00e1 bien escrito, hace todo eso de forma segura. Cuando no lo est\u00e1, entrega a los atacantes herramientas de las que pueden abusar.<\/p>\n
Entre los fallos habituales de los plugins est\u00e1n la subida de archivos sin autenticaci\u00f3n, donde una funci\u00f3n pensada para administradores con sesi\u00f3n iniciada queda accesible a cualquiera en internet. La inyecci\u00f3n SQL, donde la entrada del usuario se concatena en una consulta a la base de datos sin el escapado adecuado. El cross site scripting, donde contenido controlado por el atacante se renderiza como HTML vivo dentro del navegador de un administrador. La escalada de privilegios, donde una cuenta de nivel suscriptor puede convertirse en administradora. La deserializaci\u00f3n insegura, donde estructuras de datos complejas enviadas desde fuera desencadenan la ejecuci\u00f3n de c\u00f3digo.<\/p>\n
Cada uno de estos fallos puede dar a un atacante la capacidad de instalar puertas traseras, dejar archivos maliciosos, crear cuentas de administrador fraudulentas o saltar a otros sitios del mismo servidor. El plugin no tiene por qu\u00e9 ser oscuro. Algunos de los plugins m\u00e1s explotados en la historia de WordPress han tenido decenas de millones de instalaciones.<\/p>\n
La comunidad de seguridad funciona con la divulgaci\u00f3n responsable. Un investigador encuentra un fallo, lo informa de forma privada al autor del plugin, el autor publica una versi\u00f3n parcheada, y unos d\u00edas o semanas despu\u00e9s los detalles se publican en avisos CVE y boletines de seguridad. Esto es sano. Es como mejora el ecosistema.<\/p>\n
La parte insana es lo que ocurre a continuaci\u00f3n. Los esc\u00e1neres automatizados vigilan de cerca esos avisos. A las pocas horas de una divulgaci\u00f3n p\u00fablica, los bots barren la web p\u00fablica identificando sitios de WordPress y compar\u00e1ndolos con la lista de versiones vulnerables. Si tu sitio a\u00fan ejecuta la versi\u00f3n sin parchear, ser\u00e1s encontrado, a menudo dentro del primer d\u00eda.<\/p>\n
Por eso importa tanto la ventana entre la divulgaci\u00f3n y la actualizaci\u00f3n en tu sitio. Una rutina de actualizaci\u00f3n semanal suele atrapar las cosas a tiempo. Una trimestral casi nunca lo hace.<\/p>\n
A\u00fan peor que un plugin desactualizado es uno abandonado. Los autores de plugins van y vienen, y no todos anuncian cu\u00e1ndo han dejado de mantener su c\u00f3digo. Un plugin que lleva dos a\u00f1os sin actualizarse no es m\u00e1s seguro porque nada haya cambiado. Es m\u00e1s peligroso, porque cualquier vulnerabilidad descubierta desde entonces nunca se parchear\u00e1.<\/p>\n
El repositorio de WordPress ahora se\u00f1ala los plugins que llevan mucho tiempo sin actualizarse, pero es conservador a la hora de eliminarlos por completo. La responsabilidad de notarlo y migrar recae en ti. Una rutina de soporte mensual deber\u00eda incluir la comprobaci\u00f3n de la fecha de \u00faltima actualizaci\u00f3n de cada plugin que ejecutas.<\/p>\n
Una auditor\u00eda reciente de un cliente cont\u00f3 una historia clara. El sitio, gestionado por una peque\u00f1a agencia de S\u00eddney, ten\u00eda instalado un plugin de gestor de archivos que daba a los administradores una interfaz web para navegar y editar archivos del servidor. C\u00f3modo, pero tambi\u00e9n un objetivo hist\u00f3ricamente conocido. Esa familia de plugins ha tenido m\u00faltiples vulnerabilidades cr\u00edticas de ejecuci\u00f3n remota de c\u00f3digo publicadas a lo largo de los a\u00f1os.<\/p>\n
El plugin no se hab\u00eda mantenido al d\u00eda. Un atacante explot\u00f3 un fallo conocido, obtuvo acceso de escritura a la ra\u00edz del documento y dej\u00f3 quince archivos maliciosos en directorios que imitaban los nombres de p\u00e1ginas reales de WordPress. El resultado fue un ataque de cloaking SEO que serv\u00eda spam a Googlebot y quem\u00f3 el posicionamiento del dominio en buscadores.<\/p>\n
La limpieza fue cara. El SEO perdido fue m\u00e1s caro a\u00fan. Una rutina de actualizaci\u00f3n mensual habr\u00eda detectado el plugin vulnerable y motivado un parche inmediato o la eliminaci\u00f3n total del plugin. La reparaci\u00f3n completa habr\u00eda sido un trabajo de quince minutos durante el mantenimiento rutinario.<\/p>\n
Las razones que da la gente para no actualizar los plugins encajan en unos pocos patrones conocidos. Vale la pena conocerlos, porque cada uno tiene una respuesta mejor.<\/p>\n
Algunos propietarios temen que las actualizaciones rompan el sitio. La respuesta es probar primero en un entorno de pruebas, hacer una copia de seguridad y actualizar de forma controlada. No la de no actualizar nunca.<\/p>\n
Algunos propietarios no revisan su sitio a menudo. La respuesta es configurar alertas por correo cuando hay actualizaciones disponibles, o poner el sitio en un plan de soporte donde otra persona s\u00ed lo revise.<\/p>\n
Algunos propietarios usan un plugin muy personalizado y temen que una actualizaci\u00f3n sobrescriba sus cambios. La respuesta es no editar nunca los archivos del plugin directamente. Usa los hooks y filtros del plugin desde un tema hijo o un plugin propio, para que las actualizaciones dejen de romper tus personalizaciones.<\/p>\n
Algunos propietarios no saben que el plugin existe. Heredaron el sitio, o un freelance instal\u00f3 algo hace a\u00f1os y nunca se lo dijo. La respuesta es una auditor\u00eda. Abre la p\u00e1gina de plugins y mira. Si no sabes qu\u00e9 hace algo, aver\u00edgualo o elim\u00ednalo.<\/p>\n
La rutina b\u00e1sica es la misma en todos los sitios que gestionamos. Haz una copia de seguridad completa, incluidos base de datos y archivos. Aplica las actualizaciones en pruebas si el cambio parece arriesgado. Actualiza los plugins por lotes, no todos a la vez, para que si algo se rompe sepas qu\u00e9 plugin lo caus\u00f3. Prueba el sitio r\u00e1pidamente despu\u00e9s, visitando al menos la p\u00e1gina de inicio, una landing clave, el proceso de compra si lo hay y el \u00e1rea de administraci\u00f3n. Documenta cualquier plugin que cause problemas de forma recurrente y plant\u00e9ate reemplazarlo.<\/p>\n
Para los plugins premium, mant\u00e9n la licencia activa. Una licencia caducada significa sin actualizaciones, sin parches de seguridad y sin soporte. La cuota anual de licencia casi siempre es menor que el coste de una sola recuperaci\u00f3n tras una brecha.<\/p>\n
El movimiento de seguridad m\u00e1s infravalorado es simplemente tener menos plugins. Cada plugin es m\u00e1s superficie de ataque. Cada plugin es otro proveedor de cuyo calendario de actualizaciones dependes. Muchos sitios de WordPress que auditamos tienen 25 o 30 plugins activos, y al menos un tercio de ellos hacen cosas que o ya no se usan o podr\u00edan combinarse.<\/p>\n
Repasa la lista. Si no recuerdas por qu\u00e9 instalaste algo, probablemente no lo necesitas. Si dos plugins se solapan en funci\u00f3n, consol\u00eddalos. La menor huella de plugins que entregue lo que realmente necesitas es la m\u00e1s segura.<\/p>\n
Los plugins son la parte m\u00e1s potente y la m\u00e1s peligrosa de WordPress. Te dan las funciones que hacen atractiva la plataforma, y dan a los atacantes las puertas que convierten a los sitios de WordPress en un objetivo tan habitual. La soluci\u00f3n no es evitar los plugins, sino gestionarlos. Mantenlos actualizados. Mantenlos ligeros. Date cuenta cuando uno queda abandonado y migra a otra cosa. Trata tu lista de plugins como un presupuesto, no como un caj\u00f3n de sastre.<\/p>\n