Revisamos la página de inicio de 2.569 sitios WordPress de empresas, pymes y emprendimientos con dirección en 10 comunas de la Región Metropolitana. 75,1 % tiene al menos un plugin o tema con una vulnerabilidad conocida en la versión que muestra, y 60,8 % tiene alguna de gravedad alta o crítica. Los plugins de WordPress vulnerables que más se repiten no son raros: Elementor, WooCommerce, Slider Revolution, Elementor Pro y Yoast SEO, que están en casi todos los sitios.
¿Qué es una vulnerabilidad conocida?
Es una falla de seguridad que ya se publicó, con su rango de versiones afectadas y un puntaje de gravedad (CVSS, de 0 a 10). Desde 7 se considera alta y desde 9, crítica. Que un sitio tenga una versión vulnerable no significa que esté comprometido: significa que existe un arreglo publicado que todavía no se aplica, y que los bots que recorren internet buscan justamente esas versiones.
Qué encontramos en 2.569 sitios WordPress
| Indicador (sitios WordPress) | Sitios | % |
|---|---|---|
| Sitios WordPress revisados | 2.569 | 100 % |
| Con al menos un plugin o tema con vulnerabilidad conocida | 1.930 | 75,1 % |
| … con gravedad alta o crítica (CVSS 7 o más) | 1.561 | 60,8 % |
| Con 3 o más componentes vulnerables | 991 | 38,6 % |
| Con plugins o temas desactualizados, sin vulnerabilidad conocida en su versión | 1.323 | 51,5 % |
| WordPress al día (última: 7.1.3) | 1.214 | 47,3 % |
| WordPress desactualizado (rama con parches) | 485 | 18,9 % |
| WordPress sin parches de seguridad | 335 | 13,0 % |
| Versión de WordPress no visible | 535 | 20,8 % |
Un plugin vulnerable se cuenta solo como «con vulnerabilidad», no además como «desactualizado». Por eso un plugin puede tener muchos sitios vulnerables y pocos «desactualizados».
Los 15 plugins y temas con más sitios vulnerables
| Plugin o tema | Sitios con versión vulnerable | % de los WordPress | … alta o crítica |
|---|---|---|---|
| Elementor Website Builder (plugin) | 615 | 23,9 % | 156 |
| WooCommerce (plugin) | 475 | 18,5 % | 475 |
| Slider Revolution (plugin) | 453 | 17,6 % | 453 |
| Elementor Pro (plugin) | 419 | 16,3 % | 419 |
| Yoast SEO (plugin) | 365 | 14,2 % | 12 |
| Contact Form 7 (plugin) | 272 | 10,6 % | 177 |
| Site Kit by Google (plugin) | 247 | 9,6 % | 0 |
| Astra (tema) | 198 | 7,7 % | 0 |
| Divi (tema) | 125 | 4,9 % | 13 |
| All in One SEO (plugin) | 111 | 4,3 % | 58 |
| Essential Addons for Elementor (plugin) | 98 | 3,8 % | 72 |
| Ultimate Addons for Elementor (plugin) | 90 | 3,5 % | 0 |
| ElementsKit Elementor Addons (plugin) | 81 | 3,2 % | 45 |
| Click to Chat (plugin) | 75 | 2,9 % | 14 |
| Smash Balloon Social Photo Feed (plugin) | 68 | 2,6 % | 0 |
Lectura: el problema no son plugins raros. Son los constructores de páginas (Elementor y sus complementos, Divi, Slider Revolution), WooCommerce, el SEO y el formulario de contacto. Están en casi todos los sitios y tienen actualizaciones frecuentes, así que basta con dejar de actualizar unos meses para quedar atrás.
Por qué los plugins pagados quedan atrás
En la lista hay tres componentes pagados: Elementor Pro, Slider Revolution y Divi. Un plugin pagado no se actualiza solo sin una licencia activa: cuando la licencia vence, o cuando el plugin vino incluido en un tema comprado, el sitio deja de recibir las versiones nuevas y se queda con la vulnerable. En Elementor Pro y Slider Revolution, todos los sitios con versión vulnerable tienen alguna de gravedad alta o crítica: 419 y 453 sitios.
WordPress y PHP sin parches
13,0 % de los sitios usa una versión de WordPress que ya no recibe parches de seguridad, y otro 18,9 % está en una rama con parches pero sin la última versión. Solo 47,3 % está al día. Si tu sitio sigue en una versión antigua, en WordPress 7: qué cambia y cómo actualizar está el paso a paso para hacerlo sin romper nada.
Con PHP pasa algo parecido: de los 672 sitios que muestran su versión de PHP, 279 (41,5 %) usan una anterior a 8.2, que ya no tiene soporte de seguridad.
Qué hacer con tu sitio WordPress
- Hacer un respaldo completo y luego actualizar WordPress, los plugins y el tema, en ese orden, probando el sitio entre cada paso.
- Renovar las licencias de los plugins pagados o reemplazarlos. Un plugin sin licencia deja de recibir parches.
- Borrar los plugins y temas que no se usan: desactivados igual se pueden atacar.
- Subir PHP a 8.2 o más.
- Revisarlo una vez al mes: la mayoría de estas vulnerabilidades ya tenía arreglo publicado.
Para saber cómo está el tuyo, el verificador de seguridad web gratis revisa el certificado, las cabeceras y, si usas WordPress, la versión y los plugins que muestra tu portada. Si ves señales de que alguien entró (usuarios que no creaste, redirecciones a otros sitios, avisos de Google), eso ya es otra cosa: revisa la guía de WordPress hackeado o escríbenos por la Emergencia web. Y si quien hizo tu sitio ya no lo atiende, un desarrollador WordPress puede ponerlo al día.
Metodología
- Muestra: 2.569 sitios WordPress de empresas, pymes y emprendimientos con dirección en Vitacura, Lo Barnechea, Las Condes, Providencia, La Reina, Ñuñoa, Huechuraba, Santiago, Colina (con Chicureo) y La Florida, tomados de OpenStreetMap y de dominios .cl del índice público de Common Crawl. No es una muestra elegida al azar: representa a negocios de esas comunas con sitio web activo.
- Revisión pasiva: se abrió solo la página de inicio de cada sitio, una vez, como cualquier visitante, el 15 de octubre de 2026. No es una prueba de intrusión ni una auditoría legal.
- Plugins y temas: la versión que el código del sitio muestra se comparó con api.wordpress.org (última versión) y wpvulnerability.net (vulnerabilidades conocidas con su rango de versiones y puntaje CVSS). Es indicativa: un plugin puede declarar mal su versión, y una vulnerabilidad conocida no significa que el sitio esté comprometido.
- Confidencialidad: solo se publican cifras agregadas; ningún negocio se nombra.
¿Prefieres que lo hagamos nosotros? Con la Mantención Mensual, de $79.990 al mes con IVA incluido y sin permanencia, hacemos cada mes una Mantención Avanzada: respaldo, actualización de WordPress, plugins y tema, revisión de seguridad y monitoreo. Antes, revisa tu sitio gratis con el verificador de seguridad web, o mira todos los planes de mantención.
Escrito por Antonio Mondaca Vargas
Fundador de mantencionweb.cl
Más de 20 años en servicios TI, desarrollo web y servidores. Desde 2019 mantiene, aloja y posiciona sitios WordPress y WooCommerce en Chile con mantencionweb.cl.
