La mayoría de los ataques a WordPress empiezan por un plugin vulnerable, no por una contraseña adivinada. Esta guía ordena las medidas de seguridad de WordPress por orden de prioridad: qué arreglar hoy mismo, qué programar para esta semana y qué debería encargarse tu proveedor de alojamiento a nivel de servidor. También verás por qué las actualizaciones por sí solas dejan brechas de seguridad y cómo detectar un ataque antes de que te cueste tráfico o ventas.
La mejor protección de seguridad para WordPress es la que se basa en capas. Mantén actualizados los plugins, los temas y el núcleo. Elimina todo lo que no uses. Exige la autenticación de dos factores para todos los administradores, mantén copias de seguridad externas comprobadas y aloja tu sitio en una infraestructura que bloquee los ataques tanto a nivel de servidor como de aplicación. De todas esas capas, los plugins son los que más atención merecen: según el informe «Estado de la seguridad de WordPress en 2026» de Patchstack, el 91 % de las nuevas vulnerabilidades detectadas en 2025 se encontraban en plugins, y el 9 % en temas.
Ve revisando las secciones que aparecen a continuación de arriba abajo. Cada una está ordenada según la cantidad de riesgo que elimina en relación con el tiempo que lleva.
De dónde vienen los ataques de « WordPress »
Patchstack contabilizó 11 334 nuevas vulnerabilidades en el ecosistema de WordPress en 2025, lo que supone un aumento del 42 % respecto a 2024 (Patchstack). Solo seis de ellas se encontraban en el núcleo de WordPress , y las seis eran de baja prioridad. El resto procedía de los plugins y temas que instalas.
Los componentes de pago no son automáticamente más seguros. Patchstack ha detectado el triple de vulnerabilidades conocidas y explotadas en plugins y temas de pago que en los gratuitos, en parte porque son menos los investigadores que pueden acceder al código de los de pago para revisarlo (Patchstack). Esto sorprende a muchos propietarios de sitios web, que dan por hecho que pagar una cuota de licencia garantiza una mayor seguridad.
El núcleo sigue necesitando atención. En julio de 2026, unos investigadores revelaron «wp2shell», dos fallos graves ( WordPress ) del núcleo que, al combinarse, permitían la ejecución remota de código sin autenticación en instalaciones predeterminadas que ejecutaban las versiones 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1 (Rapid7). WordPress lanzó las versiones 6.8.6, 6.9.5 y 7.0.2 y forzó las actualizaciones automáticas en los sitios compatibles (INCIBE-CERT). Los sitios que tenían desactivadas las actualizaciones automáticas del núcleo fueron los que estuvieron expuestos durante más tiempo. Nuestro caso práctico sobre el ataque wp2shell y la recuperación explica cómo se desarrolló todo esto en un sitio real.
Qué hacer hoy para proteger tu WordPress
Estos cuatro pasos te llevan menos de una hora en la mayoría de las páginas web y cierran las brechas que los atacantes suelen aprovechar con más frecuencia.
Activar las actualizaciones automáticas
Abrir Panel de control > Actualizaciones e instala todo lo que quede pendiente. Después ve a Plugins y haz clic en Activar las actualizaciones automáticas junto a cada plugin en el que confíes para que se actualice de forma automática. WordPress aplica automáticamente las versiones menores del núcleo por defecto, así que comprueba que no haya nada que lo haya desactivado, como por ejemplo un WP_AUTO_UPDATE_CORE constante establecida en false en wp-config.php.
Si tienes una tienda de WooCommerce o una web muy personalizada, prueba primero las actualizaciones importantes de los plugins en un entorno de pruebas. En nuestro resumen de plugins de entorno de pruebas para «WordPress » te mostramos las opciones disponibles.
Elimina los plugins y los temas que no uses
Desactivar un plugin no elimina sus archivos. El código vulnerable puede seguir estando en el servidor, así que borra todo lo que esté inactivo. Quédate con un tema predeterminado actualizado como alternativa y elimina el resto.
En WordPress.org, aparece una advertencia en cualquier plugin que no se haya probado con las tres últimas versiones principales de WordPress . Tómate esa advertencia como una razón para buscar un sustituto que se mantenga actualizado.
Exigir la autenticación de dos factores para todos los administradores
WordPress La versión básica no incluye la autenticación de dos factores, así que necesitarás un plugin. Elige uno que admita una aplicación de autenticación , claves de acceso o llaves de seguridad físicas, en lugar de depender de códigos por SMS o correo electrónico. Los mensajes de texto pueden ser interceptados mediante el intercambio de tarjetas SIM, y los códigos por correo electrónico son tan seguros como la bandeja de entrada que los recibe. Echa un vistazo a nuestra comparativa de los mejores plugins de autenticación de dos factores para WordPress o sigue la guía de configuración de nuestro Centro de ayuda.
Actualiza las reglas de contraseña
El viejo consejo de mezclar mayúsculas, números y símbolos ya no sirve. La guía de autenticación actual del NIST, la SP 800-63B-4, dice que los sistemas no deben imponer reglas de composición ni exigir cambios periódicos de contraseña (NIST). Establece un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación (Startup Defense).
En la práctica, eso significa:
- Usa un gestor de contraseñas y una contraseña diferente para cada cuenta
- Elige 15 caracteres o más, o una frase de contraseña formada por varias palabras sin relación entre sí
- Cambia las contraseñas cuando haya indicios de que se han visto comprometidas, no por simple calendario.
- Dale a cada persona su propio nombre de usuario; nunca compartas una cuenta de administrador
Lo que deberías hacer esta semana
Auditar cuentas de usuario y roles
Ve a «Usuarios» > «Todos los usuarios» y elimina a los antiguos empleados, a los colaboradores externos y a las cuentas antiguas de agencias. A continuación, revisa cada uno de los roles restantes:
| Función | Claro que sí | ¿Quién debería tenerlo? |
|---|---|---|
| Administrador | Instalar plugins, cambiar la configuración, gestionar usuarios | Una o dos personas que se encargan de mantener la web |
| Editor | Publica y edita el contenido de quien sea | El contenido es lo que atrae a los clientes; la mayoría de los clientes visitan las páginas web creadas por agencias |
| Autor | Publicar sus propias entradas | Colaboradores habituales |
| Colaborador | Escribe borradores, sin publicarlos | Escritores invitados u ocasionales |
Los fallos en el control de acceso fueron el tipo de vulnerabilidad más explotado en 2025, y esos ataques suelen parecer tráfico normal de usuarios conectados (Patchstack). Si tu sitio web no necesita registro público, desmarca la opción «Cualquiera puede registrarse» en Configuración > General. Cuantas menos cuentas haya, menos puntos de entrada habrá.
¿Por qué las actualizaciones de los plugins necesitan una segunda capa?
Las actualizaciones solo te protegen una vez que hay una solución disponible. En 2025, el 46 % de las vulnerabilidades de WordPress no contaban con una solución por parte de los desarrolladores cuando se hicieron públicas (Patchstack). En el caso de las vulnerabilidades más atacadas, la mediana ponderada del tiempo transcurrido desde su divulgación hasta su primera explotación fue de cinco horas.
Los atacantes también siguen aprovechando fallos antiguos. De las diez vulnerabilidades más explotadas en 2025, solo cuatro se dieron a conocer ese mismo año (Patchstack). Las otras seis eran fallos más antiguos que los sitios web aún no habían corregido.
Así que la brecha es real en ambos sentidos. Hay sitios que no pueden aplicar los parches lo suficientemente rápido, y hay vulnerabilidades para las que no hay ningún parche que aplicar. Para cerrar esa brecha se necesita una protección que supervise lo que hace el código, no solo qué versión está instalada.
¿De qué debería encargarse tu proveedor de alojamiento web?
Algunas protecciones no se pueden configurar desde el panel de control de WordPress . Dependen de cómo tu proveedor de alojamiento configure y gestione sus servidores.
InMotion Hosting Llevamos trabajando con Monarx desde 2021, y en el primer año de esa colaboración vimos una reducción del 40 % en los casos de asistencia relacionados con la seguridad (InMotion Hosting). Desde entonces, hemos implementado Monarx ThreatShield en todo nuestro parque de servidores. Un cortafuegos tradicional inspecciona una solicitud antes de que llegue a tu aplicación. ThreatShield se ejecuta dentro del entorno de ejecución de la aplicación, por lo que evalúa lo que una solicitud intenta hacer realmente cuando se ejecuta. Eso le permite detener:
- Scripts entre sitios e inyección SQL
- Ejecución remota de código
- Intentos de inicio de sesión por fuerza bruta y relleno de credenciales
- Spam y otros usos indebidos de la aplicación
Esto es especialmente importante en el periodo que va desde que se da a conocer el fallo hasta que sale el parche, cuando tus plugins están vulnerables y aún no hay ninguna actualización disponible.
Tu proveedor de alojamiento también debería actualizar el software del servidor, aislar las cuentas entre sí, gestionar los cortafuegos y ponerte en contacto con personas que puedan ayudarte en caso de incidente. El servicio de asistencia de InMotion Hosting está disponible las 24 horas del día, los 7 días de la semana, y cada técnico recibe más de 280 horas de formación antes de ocuparse de los casos de nivel 1.
Para los clientes de servidores VPS y dedicados que quieran contar con protección contra malware y copias de seguridad en un mismo paquete, InMotion Premier Care incluye la protección contra malware de Monarx, almacenamiento para copias de seguridad y acceso ampliado al servicio de asistencia, todo en un solo plan. También puedes contratar Monarx Security por separado.
Ninguna capa por sí sola lo detecta todo. La protección a nivel de servidor reduce lo que llega a tu sitio web; pero no sustituye a las actualizaciones, a las contraseñas seguras ni a las copias de seguridad.
¿Mejora la seguridad cambiar la URL de inicio de sesión de WordPress ?
Un poco. Me mudo /wp-admin Reduce el ruido de los inicios de sesión automáticos en tus registros, pero no impide los ataques a los plugins, que casi nunca afectan a la página de inicio de sesión. Tómatelo como una tarea de mantenimiento, no como una medida de protección. Algunos plugins de caché y de seguridad también pueden entrar en conflicto con las rutas de inicio de sesión personalizadas, así que pruébalas después de cambiarlas.
¿Qué plugin de seguridad de WordPress deberías usar?
Un plugin de seguridad bien mantenido es suficiente para la mayoría de las webs. Wordfence y otras herramientas similares se encargan de limitar los inicios de sesión, avisar de cambios en los archivos y gestionar la autenticación de dos factores, todo desde un mismo sitio. Evita tener dos plugins de firewall a la vez. Entran en conflicto, duplican la carga de procesamiento en cada solicitud y pueden hacer que una cuenta de alojamiento compartido alcance sus límites de CPU. Programa análisis completos en busca de malware para las horas de menor tráfico.
¿Cómo puedes detectar a tiempo un ataque de « WordPress »?
El malware moderno de tipo « WordPress » está diseñado para pasar desapercibido. Las campañas más habituales muestran spam a los rastreadores de los motores de búsqueda, redirigen a algunos visitantes humanos a sitios fraudulentos y muestran a los propietarios de los sitios una página limpia (Patchstack y Monarx). Una familia de malware, Lock360, se ejecuta en la memoria del servidor y reescribe archivos como index.php y .htaccess en cuanto se hayan reparado.
Presta atención a estas señales:
- Páginas desconocidas al hacer una búsqueda
site:yourdomain.comen Google - Los clientes te informan de redireccionamientos que no puedes reproducir
- Cuentas de administrador que nadie ha creado
- Archivos PHP dentro de
/wp-content/uploads/ - Archivos que vuelven a cambiar después de que los hayas limpiado
Si detectas alguno de ellos, ponte en contacto con el servicio de asistencia antes de restaurar una copia de seguridad, ya que una infección residente en la memoria puede volver a infectar una restauración limpia. Nuestro [equipo de servicios web]([URL DE REPARACIÓN DE SITIOS HACKEADOS]) también ofrece reparación de sitios web hackeados con plazos de entrega estándar y prioritarios.
¿Está tu sitio web WordPress preparado para el aluvión de visitas de las fiestas?
Monarx observó que las subidas de archivos maliciosos casi se triplicaron en noviembre y diciembre de 2025, justo cuando el tráfico por las fiestas alcanzaba su punto álgido y los equipos de TI se quedaban con poco personal (Patchstack y Monarx). Para las tiendas de WooCommerce, ese es el peor momento posible.
Antes de Black Friday, revisa las listas de «hoy» y «esta semana» que aparecen arriba, suspende la instalación de plugins que no sean imprescindibles y comprueba que la restauración de la copia de seguridad funciona. Anota a quién llamar si el proceso de pago falla a las 23:00 h de un sábado.
¿Por dónde deberías empezar?
| Prioridad | Tarea | Tiempo necesario | ¿Quién se encarga de eso? |
|---|---|---|---|
| Hoy | Actualiza todo y activa las actualizaciones automáticas | 15 minutos | Tú |
| Hoy | Elimina los plugins y temas que no uses | 10 minutos | Tú |
| Hoy | Exigir la autenticación de dos factores para los administradores | 20 minutos | Tú |
| Esta semana | Auditar usuarios y roles | 30 minutos | Tú |
| Esta semana | Limitar los inicios de sesión, desactivar la edición de archivos | 20 minutos | Tú |
| Esta semana | Comprueba la versión de PHP y prueba a restaurar una copia de seguridad | 1 hora | Tú o tu desarrollador |
| En curso | Protección en tiempo real, detección de malware, aplicación de parches en servidores | Continuo | Tu anfitrión |
Si tu proveedor actual te deja esa última fila a tu cargo, vale la pena que le eches un vistazo más de cerca. El alojamiento «InMotion Hosting » de WordPress funciona en una infraestructura que construimos y gestionamos nosotros mismos, con la protección ThreatShield implementada en toda nuestra flota y un equipo de asistencia formado por personas reales disponible las 24 horas del día. Para las agencias que gestionan muchos sitios web de clientes o tiendas que necesitan recursos dedicados, el alojamiento VPS de WordPress ofrece aislamiento y control a nivel de root. Habla con nuestro equipo para encontrar la opción más adecuada para tu carga de trabajo.