Qué es un plugin nulled
Un plugin nulled es una copia pirateada de un plugin de pago, distribuida gratis fuera de los canales oficiales, que suele llevar código modificado para saltarse el pago y, con frecuencia, malware oculto dentro. También se conoce como «plugin pirata», «plugin crackeado» o «nulled theme» si se trata de un tema.
Es como comprar un bolso de una marca de lujo a un precio ridículo en un mercadillo callejero: puede que por fuera se parezca mucho al original, pero no tienes ninguna garantía de qué lleva dentro ni de quién lo ha fabricado. Muchos plugins y temas premium de WordPress se venden con una licencia que verifica el pago en línea; un plugin nulled es una versión de ese mismo plugin en la que alguien ha modificado el código para desactivar esa verificación y lo distribuye gratis en webs no oficiales, pero junto con esa modificación es muy habitual que también se incluya código adicional que no tiene nada que ver con la función original del plugin.
Cómo funciona
- Alguien descarga un plugin o tema premium de forma gratuita desde una web que no es la tienda oficial del desarrollador.
- Ese archivo ha sido modificado respecto al original para quitar la verificación de pago.
- Junto a esa modificación, en muchos casos se añade código adicional oculto, diseñado para crear accesos ocultos o insertar contenido sin que el dueño de la web lo note.
- Al instalar ese plugin en WordPress, ese código adicional se activa junto con la función que sí esperabas del plugin.
- Como el plugin nulled nunca recibe actualizaciones oficiales, cualquier vulnerabilidad que tenga queda abierta para siempre, además del riesgo del código añadido.
Ejemplo
Un hotel rural en Palma de Mallorca había instalado un plugin de reservas premium descargado gratis de una web de terceros para ahorrarse la licencia. Meses después, detectamos que ese plugin incluía una puerta trasera que permitía a un tercero acceder al panel de administración sin usuario ni contraseña, y que se estaba usando para enviar spam desde el formulario de reservas. Sustituimos el plugin por la versión original con licencia legítima, cerramos el acceso oculto y revisamos el resto de la instalación para confirmar que no quedaba ningún otro rastro.
Señales de que te afecta
- Alguien instaló en tu web un plugin o tema premium sin que conste ninguna licencia ni factura de compra.
- Tu web envía spam, redirige a páginas raras o aparecen usuarios de WordPress que nadie reconoce.
- El plugin en cuestión nunca recibe actualizaciones, o las actualizaciones vienen de una web que no es la oficial del desarrollador.
- Un escaneo de seguridad detecta código sospechoso dentro de los archivos de ese plugin o tema.
Cómo lo resolvemos
Identificamos cualquier plugin o tema nulled instalado en tu web, lo sustituimos por una versión oficial con licencia legítima y revisamos a fondo el resto de archivos por si ese plugin trajo consigo algún acceso oculto o código adicional. Si sospechas que tu web tiene instalado algo así, en nuestro servicio de desinfección de WordPress lo revisamos y lo solucionamos. Un plugin nulled es una de las causas más habituales de infecciones por malware y de vulnerabilidades que nunca se corrigen porque el plugin no puede actualizarse de forma legítima.
Preguntas frecuentes
¿Cómo sé si un plugin de mi web es nulled?
Si no tienes ninguna licencia, clave de activación ni factura asociada a un plugin de pago, y no se descargó desde la tienda oficial del desarrollador o del repositorio de WordPress, es muy probable que lo sea.
¿Todos los plugins nulled tienen malware?
No todos, pero el riesgo es alto y casi nunca se puede comprobar con seguridad sin un análisis técnico, porque el código añadido suele estar deliberadamente oculto o camuflado.
¿Puedo simplemente desactivarlo en vez de quitarlo?
No es suficiente: desactivar un plugin no elimina el código que ya se haya ejecutado o los accesos que ya se hayan creado, hay que eliminarlo por completo y revisar el resto de la web.