Qué es una vulnerabilidad
Una vulnerabilidad es un fallo o descuido en el código de WordPress, un plugin o un tema que alguien puede aprovechar para hacer algo que no debería poder hacer, como entrar sin permiso o modificar tu web. También se conoce como «fallo de seguridad» o «brecha de seguridad».
Es como una ventana de tu tienda que se puede abrir desde fuera sin forzar nada, simplemente porque el pestillo nunca se instaló bien: mientras nadie lo sepa, no pasa nada, pero en el momento en que alguien lo descubre, puede entrar sin que se note. El código de WordPress, de sus plugins y de sus temas lo escriben personas, y cualquier código puede tener descuidos: una comprobación que falta, un permiso demasiado abierto, una forma de acceder a una función que no debería estar disponible para cualquiera. Cuando se descubre uno de esos descuidos y se puede aprovechar para hacer algo indebido, se le llama vulnerabilidad.
Cómo funciona
- Un desarrollador escribe el código de un plugin, tema o del propio WordPress, y por error deja un descuido de seguridad.
- Investigadores de seguridad, hackers o el propio equipo del plugin descubren ese descuido, a veces meses o años después de publicarse.
- Si se descubre de forma responsable, se avisa al desarrollador y se publica una actualización que lo corrige antes de hacerlo público.
- Si en cambio la descubre primero alguien con malas intenciones, puede aprovecharla contra cualquier web que use esa versión del plugin, antes de que exista una solución.
- Cada vulnerabilidad corregida sustituye a la anterior por una versión más segura, por eso actualizar deja de ser opcional en cuanto se publica un parche.
Ejemplo
Una librería online en Salamanca seguía usando una versión antigua de un plugin de suscripción a newsletter que llevaba meses sin actualizar porque «funcionaba bien». Meses después se hizo pública una vulnerabilidad de ese plugin que permitía a cualquiera crear usuarios administradores en la web sin necesidad de contraseña. Actualizamos el plugin a la versión corregida, revisamos que no se hubiera creado ningún usuario no autorizado durante ese tiempo y establecimos una revisión periódica para que las actualizaciones de seguridad no se quedaran pendientes tanto tiempo.
Señales de que te afecta
- Un escaneo de seguridad o un aviso de tu hosting señala una vulnerabilidad conocida en algún plugin o tema de tu web.
- Tienes plugins o temas que llevan meses o años sin actualizarse, aunque «funcionen bien».
- Usas plugins poco conocidos o con pocas valoraciones, que no se actualizan con frecuencia.
- Has visto noticias o avisos sobre una vulnerabilidad en un plugin concreto que también usas tú.
Cómo lo resolvemos
Revisamos qué plugins, temas y versión de WordPress tiene tu web y los contrastamos con las vulnerabilidades conocidas publicadas, actualizando o sustituyendo cualquier pieza que tenga un fallo de seguridad pendiente de corregir, y comprobamos si alguna de esas vulnerabilidades ya ha sido aprovechada antes de dar la web por segura. Si quieres que revisemos la seguridad de tu web de esta forma, en nuestro servicio de seguridad WordPress lo hacemos de forma periódica. Las vulnerabilidades sin corregir son la causa de fondo detrás de casos como la inyección SQL, el XSS o muchas infecciones de malware, y mantener tus actualizaciones al día es la forma más directa de cerrarlas.
Preguntas frecuentes
¿Todas las vulnerabilidades son igual de graves?
No, varían mucho: algunas permiten solo ver información poco sensible, y otras permiten tomar el control completo de la web; por eso conviene priorizar la corrección según la gravedad, no ignorar ninguna.
¿Si mi plugin sigue «funcionando bien», puedo dejar de actualizarlo?
No es buena idea: que un plugin funcione bien no significa que sea seguro, muchas vulnerabilidades no afectan al funcionamiento visible de la web, solo abren una puerta que nadie nota hasta que alguien la usa.
¿Cómo me entero de que un plugin que uso tiene una vulnerabilidad?
Normalmente a través de los avisos del propio WordPress, de servicios de seguridad especializados o de la nota de la nueva versión del plugin cuando se publica la corrección; por eso conviene revisar las actualizaciones con regularidad.