Tu panel de WordPress dice que todo está al día. El núcleo está en la última versión, el tema se ve bien y el sitio carga rápido. Y, aun así, un solo plugin olvidado puede ser la puerta abierta que necesita un atacante.
Por eso hemos activado el análisis CMS Threats y las notificaciones semanales en cPGuard en el hosting cPanel de WebGee. cPGuard ahora revisa cada instalación de WordPress, Joomla y Drupal de tu cuenta en busca de vulnerabilidades conocidas y te indica exactamente qué plugin o tema necesita atención, antes de que otra persona lo descubra.
Puntos clave
- La mayoría de los ataques a WordPress entran por un plugin desactualizado o abandonado, no por el núcleo de WordPress.
- cPGuard, en el hosting cPanel de WebGee, ahora analiza todos los sitios WordPress, Joomla y Drupal en busca de vulnerabilidades conocidas y te envía un informe semanal por correo.
- «Status: latest» se refiere solo al núcleo; la columna CVE muestra el plugin o tema con mayor riesgo.
- Desactivar un plugin no te protege. Elimina los que no uses.
- Haz una copia de seguridad, actualiza o reemplaza los elementos señalados y comprueba después que aparecen como Safe en cPGuard.
En esta guía
- Por qué los plugins, y no WordPress en sí, son la vía de entrada habitual
- Qué te dice el nuevo correo semanal de cPGuard
- Cómo encontrar el plugin vulnerable en cPanel en menos de un minuto
- Cómo solucionarlo de forma segura y comprobar que ha funcionado
Por qué los plugins son el punto débil
El núcleo de WordPress lo mantiene un gran equipo de seguridad y se actualiza solo en las versiones menores. Con los plugins y los temas es distinto. Un sitio típico tiene una docena o más, creados por distintos desarrolladores y actualizados con calendarios diferentes, y algunos están directamente abandonados.
Cuando se publica una vulnerabilidad de un plugin popular, los bots automatizados empiezan a rastrear internet en busca de sitios que todavía usan la versión antigua, a menudo en cuestión de horas. No les importa el tamaño de tu sitio. Si el archivo vulnerable está en tu servidor, lo intentarán.
La trampa más común es un plugin que ni siquiera estás usando. Desactivar un plugin no te protege: sus archivos siguen en el servidor y se puede acceder a ellos directamente, que es como se explotan la mayoría de estas vulnerabilidades.
«Latest» no significa «seguro» Un sitio puede tener la versión más reciente de WordPress y, aun así, una vulnerabilidad de alto riesgo en un plugin. cPGuard muestra ambas cosas por separado para que veas la diferencia de un vistazo.
Qué hace ahora cPGuard por ti
cPGuard es la suite de seguridad integrada en el hosting cPanel de WebGee. Además del análisis de malware y su firewall de aplicaciones web, ahora ejecuta un análisis CMS Threats en toda tu cuenta:
- Encuentra cada instalación de WordPress, Joomla y Drupal, incluidas copias antiguas y carpetas de staging olvidadas.
- Comprueba el núcleo, cada plugin y cada tema frente a las vulnerabilidades publicadas (CVE).
- Busca archivos maliciosos dentro de la instalación y contenido infectado en su base de datos.
- Te envía cada semana un resumen por correo con el asunto Threats to CMS installations detected.
Se aplica al hosting compartido, reseller y Premium con cPanel; no tienes que instalar ni activar nada.
Cómo leer el correo semanal
Las cuatro cifras de la parte superior cuentan los problemas de toda tu cuenta:
- Critical CMS Issues: instalaciones con al menos una vulnerabilidad conocida.
- Updates Pending: instalaciones cuya versión del núcleo está desactualizada.
- CMS threats: archivos maliciosos encontrados dentro de una instalación.
- Database infections: contenido malicioso encontrado en la base de datos de una instalación.
Debajo, una tabla muestra cada sitio afectado. Hay dos columnas que es fácil malinterpretar si se leen juntas. Status describe solo el núcleo del CMS: latest significa que WordPress en sí está al día. CVE muestra la vulnerabilidad conocida más grave de toda la instalación, que normalmente está en un plugin o un tema. La puntuación va sobre 10: de 4.0 a 6.9 es Medium, de 7.0 a 8.9 es High y 9.0 o más es Critical.
Así que una fila que muestra latest junto a High, 7.5 no es una contradicción. Tu núcleo está al día, pero algo instalado encima tiene una vulnerabilidad publicada.
Si «CMS threats» o «Database infections» es mayor que cero El sitio ya está infectado, no solo expuesto. Olvídate de las actualizaciones por ahora y pasa directamente a limpiar el sitio, o abre un ticket y nuestros ingenieros te ayudarán.
Encuentra el plugin vulnerable en cPanel
- En cPanel, escribe cPGuard en el cuadro Search Tools y ábrelo.
- Selecciona CMS Threats.
- Busca la instalación que aparece en el correo. CVE muestra su peor puntuación, Plugins indica cuántos están desactualizados e Issues cuenta todo lo que ha encontrado cPGuard.
- Selecciona la instalación para abrir CMS Details y revisa las pestañas: Plugins, Themes, Core issues y Threats.
En las pestañas Plugins y Themes, una versión en rojo con yes en Update available está desactualizada. Una puntuación en la columna CVE, en lugar de Safe, es la vulnerabilidad que indicaba el correo. Anota su nombre.
Soluciónalo de forma segura
Primero, haz una copia de seguridad. En WebGee ya tienes snapshots diarios de JetBackup en cPanel, pero crear uno nuevo lleva segundos y permite deshacer fácilmente cualquier actualización.
- Inicia sesión en el administrador de WordPress en
/wp-adminy abre Escritorio › Actualizaciones. - Actualiza cada plugin o tema que anotaste en cPGuard.
- Si un elemento tiene puntuación CVE pero no hay ninguna actualización disponible, el autor todavía no lo ha corregido. Desactívalo, elimínalo y reemplázalo por una alternativa que se mantenga.
- Elimina todos los plugins y temas que ya no uses, incluidos los inactivos.
# Prefer the command line? With SSH access, WP-CLI does the same in seconds:
wp plugin list --update=available
wp plugin update --all
# Remove a plugin you no longer use (deactivating is not enough)
wp plugin delete old-slider-pluginComprueba que ha funcionado
- En WordPress, la página Actualizaciones no muestra nada pendiente.
- En cPGuard › CMS Threats, vuelve a abrir la instalación. Los elementos que actualizaste ahora muestran Safe en la columna CVE.
cPGuard vuelve a revisar las instalaciones según su propia programación, así que la página puede tardar un poco en reflejar los cambios. Tu próximo correo semanal ya no debería incluir el sitio.
¿Sigue apareciendo?
- No reconoces la instalación. Las copias antiguas, como
public_html/old, o una carpeta de staging olvidada también se analizan, y son una vía de entrada habitual. Si ya no necesitas la copia, elimina su carpeta y su base de datos. - La actualización falla. Es posible que el plugin necesite una versión de PHP más reciente, que puedes cambiar para cada sitio en cPanel.
- Todo aparece como Safe, pero el correo sigue llegando. Abre un ticket con tu PIN de soporte y la ruta de la instalación, y lo revisaremos contigo.
Seguridad que trabaja mientras tú te ocupas de tu negocio
La mayoría de los propietarios de sitios web no tienen tiempo de seguir las fuentes de vulnerabilidades de cada plugin que instalan. Con el análisis CMS Threats, no te hace falta: cPGuard vigila tus instalaciones y te avisa en cuanto algo necesita atención, con cifras claras y con el plugin exacto que debes actualizar.
Y se suma a todo lo demás que incluye el hosting cPanel de WebGee: la velocidad de LiteSpeed, SSL gratuito, copias de seguridad diarias, análisis de malware e ingenieros de verdad en el chat en vivo 24/7.
Preguntas frecuentes
¿Qué planes de WebGee incluyen el análisis CMS Threats de cPGuard?
Se aplica a los sitios WordPress, Joomla y Drupal alojados en los planes de hosting compartido, reseller y Premium de WebGee con cPanel. No tienes que instalar ni activar nada.
¿Con qué frecuencia analiza cPGuard mi sitio WordPress?
cPGuard vuelve a revisar tus instalaciones según su propia programación y te envía cada semana un resumen por correo con el asunto «Threats to CMS installations detected».
Mi correo dice Status: latest, pero CVE: High. ¿Mi sitio está seguro?
Status describe solo el núcleo de WordPress. La columna CVE muestra la vulnerabilidad más grave de toda la instalación, que normalmente está en un plugin o un tema. Abre cPGuard › CMS Threats en cPanel para ver cuál es y luego actualízalo o elimínalo.
¿Basta con desactivar un plugin vulnerable?
No. Los archivos de un plugin desactivado siguen en el servidor y se puede acceder a ellos directamente. Si no usas un plugin, elimínalo.
¿Qué hago si no hay ninguna actualización disponible para un plugin vulnerable?
Significa que el autor todavía no lo ha corregido. Desactívalo, elimínalo y reemplázalo por una alternativa que se mantenga activamente.
