Qué dicen los datos
- En el informe de mitad de 2025 de Patchstack, los plugins eran responsables del 89 % de las vulnerabilidades registradas.
- La cobertura del informe de 2026 (sobre los datos de 2025) cita un aumento de las vulnerabilidades del ecosistema, con alrededor del 91 % en plugins y muy pocas en el núcleo, todas de riesgo bajo. Son cifras citadas por medios secundarios; consulta el informe original de Patchstack antes de usarlas.
- En otros años y informes la proporción en plugins va del 93 % al 97 %. La conclusión no cambia: la superficie de riesgo está en los plugins.
Revisado el 26 de octubre de 2026. Fuentes al final del artículo.
Por qué los plugins son tan vulnerables
- Hay decenas de miles de plugins hechos por desarrolladores muy distintos, con niveles de seguridad desiguales.
- Muchos dejan de mantenerse y quedan con fallos sin corregir.
- Un plugin tiene acceso casi total a tu sitio: un fallo en uno de ellos puede dar control completo.
- Cada plugin extra suma código que revisar y actualizar.
Ocho medidas que reducen el riesgo
- Menos plugins: desinstala (no solo desactives) los que no uses. Cada uno que quitas es una puerta menos.
- Solo fuentes confiables: plugins con mantenimiento reciente, muchas instalaciones activas y buen historial. Evita versiones "nulled" o descargadas de sitios piratas: es una vía clásica de infección.
- Actualizaciones al día: activa las actualizaciones automáticas de seguridad, o define una persona responsable y una revisión semanal.
- Copias de seguridad fuera del servidor y probadas: una copia que nunca se restauró no es una garantía.
- Acceso fuerte: doble factor de autenticación para todos los administradores, contraseñas únicas y el mínimo de usuarios con rol de administrador.
- Entorno de pruebas: probar las actualizaciones grandes en una copia antes de aplicarlas al sitio en producción.
- Protección adicional: un cortafuegos de aplicaciones web (WAF) y un servicio que aplique parches virtuales mientras sale la corrección.
- Vigilancia: alertas de caída del sitio y de cambios de archivos, para enterarte antes de que lo haga un cliente.
Para un sitio con WordPress profesional, mira nuestro servicio de WordPress.
¿Es WordPress menos seguro que una solución a medida?
No de forma automática. WordPress en sí es un proyecto muy vigilado; el riesgo viene de la cantidad de piezas de terceros. Una aplicación a medida también depende de librerías (ver ataques a la cadena de suministro) y de buenas prácticas de quien la desarrolla. Lo que decide el nivel de seguridad es el cuidado en la configuración, las actualizaciones y los accesos. Compara ambas opciones en WordPress o Next.js.
Fuentes
Preguntas frecuentes
¿Dónde están la mayoría de las vulnerabilidades de WordPress?
En los plugins: según los informes de Patchstack, entre el 89 % y más del 90 % de las vulnerabilidades nuevas según el año, con una proporción menor en temas y muy pocas en el núcleo.
¿Cuántos plugins debería tener mi sitio?
Los mínimos necesarios. No hay un número mágico, pero cada plugin adicional aumenta la superficie de ataque, así que conviene desinstalar los que no se usan.
¿Las actualizaciones automáticas son seguras?
Para las actualizaciones de seguridad suelen ser recomendables, porque reducen la ventana de exposición. Conviene tener copias de seguridad y vigilar el sitio por si una actualización rompe algo.