Seguridad de aplicaciones
¿Tu web en WordPress es segura? Lo que dicen los datos de 2025
Si la web de tu empresa funciona con WordPress, la pregunta útil no es si WordPress es seguro, sino qué tienes instalado encima y quién lo mantiene al día. Los datos de 2025 lo dejan claro: casi todos los fallos de seguridad están en los plugins, no en WordPress.
Qué dicen los datos de 2025
El informe «State of WordPress Security in 2026» de Patchstack contó 11.334 vulnerabilidades nuevas en el ecosistema WordPress durante 2025, un 42 % más que en 2024. El 91 % estaba en plugins y el 9 % en temas. En el núcleo de WordPress solo se registraron 6, y de prioridad baja.
Dos cifras del mismo informe explican por qué esto importa a una pyme: el 46 % de esas vulnerabilidades no tenía parche del desarrollador cuando se hizo pública, y la mediana ponderada hasta el primer intento de explotación fue de 5 horas.
El problema no es WordPress ni PHP
Una web típica de WordPress suma plugins de muchos autores distintos: formularios, tienda, copias de seguridad, SEO, galerías. Cada uno es una puerta más que alguien tiene que mantener cerrada. Cuando su autor tarda en publicar el parche, o abandona el plugin, la puerta queda abierta aunque WordPress esté al día.
El riesgo crece con dos hábitos muy comunes: instalar plugins para resolver algo puntual y no quitarlos después, y posponer las actualizaciones por miedo a que la web se rompa.
Qué revisar en tu web
- Inventario: apunta qué plugins y temas tienes instalados, activos o no, y para qué sirve cada uno.
- Limpieza: desinstala los que no usas. Un plugin desactivado sigue en el servidor.
- Actualizaciones: comprueba que WordPress, los plugins y el tema están en su última versión y decide con qué frecuencia se revisan.
- Plugins abandonados: mira la fecha de su última actualización. Si lleva mucho tiempo sin cambios, busca una alternativa mantenida.
- Copias de seguridad: confirma que existen, que se guardan fuera del servidor y que alguien ha probado a restaurar una.
- Responsable: deja por escrito quién se encarga de todo lo anterior. Sin un nombre, no lo hace nadie.
Cuándo conviene una auditoría o un sistema a medida
Si la web solo informa, con un buen mantenimiento suele bastar. Si recoge datos de clientes, cobra pagos o se conecta con tu ERP o tu CRM, conviene una revisión externa que vaya más allá de los plugins: permisos, formularios, integraciones y lo que se ve desde fuera.
Cuando una parte del negocio depende de muchos plugins encadenados, a veces sale más a cuenta construir esa parte como una aplicación propia. Frameworks como Rails o Laravel traen de fábrica protecciones como el token contra CSRF y el escapado de lo que se muestra en pantalla, y dependen de menos piezas de terceros. Aun así, también hay que mantenerlos actualizados.
En nuestras auditorías revisamos la web y sus integraciones y entregamos los hallazgos ordenados por impacto real, para que sepas qué arreglar primero.
En resumen
- En 2025 hubo 11.334 vulnerabilidades nuevas en el ecosistema WordPress; el 91 % estaba en plugins (Patchstack).
- El 46 % no tenía parche al hacerse pública y el primer intento de explotación llega en horas.
- Haz inventario, quita lo que no usas, actualiza y nombra a un responsable.
- Si la web maneja datos de clientes o pagos, pide una revisión externa.
Relacionado
¿Quieres revisar tu caso con contexto?
Cuéntanos el proceso, los sistemas implicados y el resultado que necesitas. Prepararemos la conversación para aprovechar los 30 minutos.