Una encuesta reciente de WordPress.com preguntó cuál será la mayor amenaza para la seguridad de WordPress en 2026.

El 51% de las personas eligió los plugins desactualizados, por encima de los ataques de fuerza bruta, las contraseñas débiles y los temas “nulled” o pirateados.

Patchstack reportó que el 91% de las nuevas vulnerabilidades encontradas en el ecosistema WordPress correspondieron a plugins. Solo el 9% estuvo relacionado con temas y una fracción mínima con el núcleo de WordPress.

Esto no significa que los plugins sean malos.

Significa que cada plugin agrega código, dependencias y posibles puntos de entrada. Cuando ese software deja de recibir mantenimiento o una actualización de seguridad no se instala a tiempo, el riesgo aumenta.

Una vulnerabilidad conocida también es una oportunidad conocida

Cuando se descubre una falla, normalmente el desarrollador publica una actualización para corregirla.

El problema comienza cuando la actualización existe, pero el sitio continúa utilizando la versión vulnerable.

Para un atacante, no siempre es necesario encontrar una falla nueva. Puede buscar automáticamente sitios que todavía ejecutan versiones antiguas y atacar aquellos que siguen expuestos.

Este problema no es exclusivo de WordPress. El informe DBIR 2026 de Verizon encontró que el 31% de las brechas analizadas comenzó con la explotación de una vulnerabilidad de software, superando por primera vez a las credenciales robadas como principal punto de entrada.

En otras palabras: actualizar tarde ya no es simplemente una mala práctica técnica. Es un riesgo para el negocio.

¿Qué puede pasar si tu sitio no recibe mantenimiento?

Para una empresa, agencia o ecommerce, un incidente puede significar:

• Interrupción de ventas o solicitudes de clientes.
• Redirecciones hacia sitios fraudulentos.
• Creación de usuarios administrativos sin autorización.
• Robo o exposición de información.
• Daño a la reputación de la marca.
• Pérdida de posicionamiento en buscadores.
• Horas o días de trabajo para recuperar el sitio.

El costo real no es solamente “arreglar WordPress”. También incluye las ventas, oportunidades y confianza perdidas mientras el sitio no funciona correctamente.

Actualizar ayuda, pero no es toda la estrategia

Un sitio protegido necesita un proceso continuo, no una actualización ocasional cuando alguien recuerda entrar al panel.

Ese proceso debería incluir:

1. Inventario de plugins y temas

   Conocer qué software está instalado, para qué se utiliza y quién lo mantiene.

2. Actualizaciones controladas

   Instalar correcciones con frecuencia, verificando previamente que no afecten formularios, compras, integraciones o funciones críticas.

3. Eliminación de software innecesario

   Un plugin desactivado pero todavía instalado también puede contener código vulnerable. Si no se utiliza, debe eliminarse.

4. Backups verificables

   Tener una copia no es suficiente. También hay que comprobar que pueda restaurarse correctamente.

5. Protección de accesos

   Utilizar contraseñas únicas, autenticación en dos pasos y únicamente los permisos necesarios para cada persona.

6. Monitoreo

   Detectar cambios inesperados, errores, archivos modificados o vulnerabilidades antes de que se conviertan en una emergencia.

7. Software legítimo y mantenido

   Los temas y plugins pirateados pueden haber sido modificados para incluir código malicioso y no ofrecen un canal confiable de actualizaciones.

Seguridad también significa continuidad

Tu sitio web puede ser una vitrina, una tienda, una fuente de prospectos o una parte esencial de tus operaciones.

No debería depender de que alguien recuerde actualizarlo cada varios meses.

En ElPuas Digital Crafts trabajamos precisamente para reducir ese riesgo: mantener WordPress actualizado, estable y preparado para recuperarse si algo sale mal.

Porque el mejor incidente de seguridad es el que logramos prevenir.

¿Cuándo fue la última vez que alguien revisó realmente la seguridad y el mantenimiento de tu WordPress?