WordPress impulsa casi la mitad de la web, lo que lo convierte en la plataforma más atacada de internet. En 2025 el panorama de amenazas cambió de un modo que dejó cortas la mayoría de las estrategias de seguridad convencionales: el número de vulnerabilidades se disparó, los plazos de explotación se redujeron a horas y el malware mejoró su capacidad para sobrevivir a la limpieza.
Este resumen utiliza los datos de seguridad de 2025 para mostrar a los propietarios de sitios WordPress y WooCommerce los riesgos reales a los que se enfrentan y los pasos prácticos que cierran las brechas.
¿Hasta qué punto empeoraron las vulnerabilidades de WordPress en 2025?
11,334+42%
Nuevas vulnerabilidades
Detectadas en el ecosistema de WordPress en 2025, más que el año anterior.
4,124Requirieron acción
Mitigación necesaria
Lo bastante graves como para requerir una mitigación activa.
1,966Gravedad alta
Riesgo de explotación masiva
Más problemas de gravedad alta que en los dos años anteriores juntos.
No es una tendencia gradual. Es una aceleración significativa de la atención de los atacantes hacia WordPress.
De dónde vienen las vulnerabilidades
Plugins91%
Del total de vulnerabilidades notificadas.
Temas9%
El resto de los nuevos informes.
Núcleo de WordPress6 problemas
Todos de baja prioridad. El núcleo no es el problema: lo son las capas de terceros que se instalan encima.
¿Son realmente más seguros los plugins premium?
No. Los componentes premium suelen ser el mayor punto ciego. Un análisis centrado en los componentes de marketplaces premium, incluidos los que se venden a través de Envato, reveló:
- Casi 2.000 informes válidos sobre componentes premium o freemium: el 29 % de todos los informes.
- 76% de las vulnerabilidades en componentes premium eran explotables en ataques reales.
- 3× más vulnerabilidades explotadas conocidas que los componentes gratuitos.
- 33 zero-days críticos en componentes premium, frente a 12 en los gratuitos.
No es que los plugins premium se desarrollen con más descuido. Los investigadores tienen un acceso limitado al código de pago, así que lo revisan menos personas. Menos escrutinio significa menos conciencia del riesgo, no menos riesgo.
¿Cuántas se corrigieron antes de su divulgación?
Solo el 54 %. El 46 % restante se hizo público antes de que el desarrollador publicara una corrección, lo que a menudo entregó los detalles a los atacantes antes de que los propietarios de sitios tuvieran algo que instalar. Las actualizaciones de plugins no pueden ser por sí solas su estrategia de seguridad cuando casi la mitad de los fallos divulgados aún no tienen parche.
La rapidez con la que actúan los atacantes tras la divulgación
Más rápido que la mayoría de los calendarios de actualización. En las vulnerabilidades más atacadas, la mediana ponderada entre la divulgación y la explotación activa fue de cinco horas, y aproximadamente la mitad de las vulnerabilidades de alto impacto se explotaron en menos de 24 horas, justo cuando la mayoría de los administradores aún no lo saben o no han aplicado el parche.
Lo más explotado
El control de acceso roto encabezó la lista de 2025. Es difícil de defender porque los ataques parecen el comportamiento normal de un usuario con sesión iniciada, sin cadenas de inyección evidentes que un firewall tradicional pueda detectar. Otras categorías muy explotadas:
- Cross-site scripting almacenado sin autenticación
- Subida de archivos sin autenticación
- Elusión de la autorización
- Escalada de privilegios
- Inyección de objetos PHP
Los plugins de WooCommerce entraron en la lista de los diez más atacados, incluida una escalada de privilegios de WooCommerce Payments de 2023 que sigue explotándose en tiendas sin parchear.
¿Hasta qué punto resisten las defensas estándar del hosting?
No lo suficiente. Las pruebas de penetración realizadas en distintos proveedores de hosting revelaron que las configuraciones estándar, incluidos los WAF internos y Cloudflare, solo bloquearon el 26 % de los intentos de explotación de WordPress, y apenas el 12 % frente a vulnerabilidades explotadas conocidas. Las reglas genéricas de WAF gestionan razonablemente bien los ataques genéricos, pero no detectan las categorías específicas de WordPress que están detrás de la mayoría de las explotaciones reales.
Qué ocurre cuando un sitio queda comprometido
Por qué ahora es más difícil eliminar el malware
Los atacantes inyectan cada vez más código en archivos legítimos del núcleo, de plugins o de temas, en lugar de dejar archivos maliciosos independientes. Como el archivo base es legítimo, los escáneres basados en la eliminación lo marcan de forma irregular o lo pasan por alto, y eliminarlo rompe el sitio. Hoy, limpiar significa extraer quirúrgicamente el fragmento de un archivo que, por lo demás, es válido.
Hay un patrón estacional
Las subidas de archivos maliciosos casi se triplicaron en noviembre y diciembre de 2025. El cuarto trimestre combina picos de tráfico con plantillas reducidas, por lo que los atacantes tienen menos probabilidades de ser detectados rápidamente. Las tiendas con promociones navideñas atraviesan el periodo de mayor riesgo del año con el menor número de personas disponibles para responder.
Las familias de malware más activas en 2025
Patrón de evasiónToque para abrir
Entrega selectiva de contenido
Campañas como el spam SEO japonés, jgalls y Parrot TDS muestran contenido distinto a cada visitante: spam a los rastreadores de los buscadores, redirecciones de phishing a las personas y páginas limpias a los propietarios y a los escáneres. Parrot TDS ahora también detecta los rastreadores de entrenamiento de IA. A menudo solo se descubre cuando los clientes se quejan o el tráfico orgánico se desploma.
Persistencia en memoria
Lock360 se ejecuta en la memoria del servidor, no en archivos. Si limpia index.php o .htaccess, el proceso vuelve a escribir el código malicioso. El ciclo continúa hasta que se elimina el proceso en memoria, algo que la mayoría de los escáneres estándar no pueden hacer.
Infraestructura de uploaders
Los scripts de subida (uploaders) casi se duplicaron en junio de 2025 y se mantuvieron altos. Permiten a los atacantes desplegar nuevas cargas maliciosas a voluntad, de modo que un sitio limpio de una infección puede volver a infectarse a través de un uploader latente que sobrevivió.
Cómo se presenta el panorama de cara a 2026
El desarrollo asistido por IA está acelerando la creación de plugins a medida: las agencias generan funcionalidades bajo demanda y combinan front ends en React creados con IA con un backend de WordPress. Esto amplía la superficie de ataque más allá del núcleo, los plugins y los temas, hacia componentes a medida, paquetes de JavaScript y dependencias de PHP que los escáneres estándar de WordPress no se diseñaron para evaluar.
Las mismas herramientas de IA que crean sitios más rápido también ayudan a los atacantes a encontrar y explotar debilidades por su cuenta.
Además, la Ley de Ciberresiliencia de la UE está empujando a los proveedores de plugins comerciales a poner en marcha programas formales de divulgación de vulnerabilidades. La mayoría aún no tiene recursos para gestionar grandes volúmenes de informes, lo que amenaza con ampliar la distancia entre el hallazgo de un fallo y la existencia de un parche.
Qué deben hacer ahora mismo los propietarios de tiendas
¿En qué situación está su tienda?0 de 6 implantadas
Marque lo que su tienda ya tiene implementado.
Solicite una auditoría gratuitaConclusión sobre la seguridad de WordPress en 2026
Los fundamentos no han cambiado: mantenga el software actualizado, limite la proliferación de plugins y use credenciales robustas. Lo que ha cambiado es que ya no bastan por sí solos.
Los exploits llegan en cuestión de horas. El malware está diseñado para sobrevivir a la limpieza estándar. Los plugins premium conllevan riesgos ocultos. Y los componentes generados por IA siguen ampliando la superficie de ataque.
Una seguridad eficaz en 2026 implica una mitigación automatizada que se active en las primeras horas tras la divulgación, una detección a nivel de servidor que encuentre amenazas inyectadas y residentes en memoria, y una visibilidad clara de cada componente del sitio. Trate la seguridad como un proceso continuo, no como una limpieza cuando algo ya ha fallado.
