Auditar Seguridad WordPress con WPScan: Guía 2025

📅 Publicado el 13 de septiembre, 2026 · Por Equipo RedServicio

Por qué auditar seguridad WordPress es imprescindible

WordPress alimenta más del 43% de la web. Y esa cifra, que a muchos les alegra, tiene una cara menos amable: es también el motivo por el que los atacantes automatizados lo tienen en el punto de mira. Cada semana aparecen decenas de vulnerabilidades nuevas en plugins y temas, y basta un solo descuido para comprometer un sitio entero. Una auditoría de seguridad periódica te permite detectar versiones desactualizadas, plugins abandonados, usuarios con contraseñas flojas y configuraciones inseguras antes de que alguien las explote.

Para esta tarea existe, digamos, la herramienta de referencia en la industria: WPScan, un escáner de línea de comandos mantenido por la base de datos de vulnerabilidades de WPScan (adquirida por Automattic), que cataloga más de 45.000 vulnerabilidades documentadas del ecosistema WordPress.

Qué es WPScan y qué puede detectar

WPScan es una herramienta open source escrita en Ruby que analiza tu sitio WordPress de forma black box. Es decir: desde fuera, sin necesidad de acceso al servidor. Es capaz de identificar:

• Versión de WordPress instalada y vulnerabilidades asociadas a ella.
• Plugins instalados, incluidos los que no aparecen en el listado oficial, y sus CVEs conocidas.
• Temas y sus vulnerabilidades documentadas.
• Usuarios registrados expuestos vía el método de enumeración ?author=1 o la API REST.
• Contraseñas débiles mediante ataques de diccionario contra usuarios detectados.
• Backups expuestos, archivos debug.log, listados de directorios y configuraciones peligrosas como xmlrpc.php activo.
• TimThumb y otros componentes tristemente célebres si aún persisten.

Requisitos previos para la auditoría

Antes de meterte en faena necesitas:

1. Un equipo con Linux, macOS o Windows (WSL) con Ruby 2.7 o superior instalado.
2. Una cuenta gratuita en wpscan.com para obtener un API Token, obligatorio desde 2020 para consultar la base de datos de vulnerabilidades. El plan gratuito permite 75 peticiones al día; para auditar un sitio pequeño, suficiente.
3. Permiso explícito para escanear el sitio. Escanear webs de terceros sin autorización es ilegal en la mayoría de jurisdicciones. No lo olvides.

Instalación de WPScan

En sistemas Debian/Ubuntu:

sudo apt-get install build-essential libcurl4-openssl-dev libxml2 libxml2-dev libxslt1-dev ruby-dev git -y && sudo gem install wpscan

En macOS con Homebrew:

brew install wpscan

Comprueba que todo fue bien con wpscan –version. Y si trabajas con Kali Linux, ya lo tienes preinstalado.

Configurar tu API Token

Regístrate en wpscan.com, copia tu token y guárdalo en un perfil para no teclearlo cada vez:

wpscan –update

wpscan –url https://tusitio.com –api-token TU_TOKEN

Otra opción: crea el archivo ~/.wpscan/scan.json con el token y se usará automáticamente.

Cómo realizar tu primer escaneo con WPScan

El escaneo básico se ejecuta así:

wpscan –url https://tusitio.com –api-token TU_TOKEN –random-user-agent –enumerate vp,vt,u,dbe

Vamos opción por opción:

• –url: la dirección del sitio a auditar.
• –random-user-agent: evita bloqueos por WAF que detecten el user-agent por defecto de WPScan.
• –enumerate vp: enumera plugins vulnerables.
• –enumerate vt: enumera temas vulnerables.
• –enumerate u: enumera usuarios (ojo, esto cambia según la versión: en WPScan 3.8+ usa –users-detection o -e u).
• –enumerate dbe: busca exportaciones de base de datos expuestas.
• –plugins-detection aggressive: detecta plugins que intentan ocultarse, de forma pasiva o agresiva.

El resultado incluye un apartado [!] para alertas y [i] para información. Concéntrate en las líneas marcadas con alerta y en los códigos CVE referenciados.

Enumerar usuarios y auditar contraseñas

La enumeración de usuarios es de los hallazgos más frecuentes y también de los más peligrosos: si el atacante ya sabe que el usuario se llama «admin», solo le queda adivinar la contraseña. WPScan lo detecta y, además, permite lanzar un ataque de fuerza bruta controlado para comprobar qué tan serias son tus políticas de contraseñas:

wpscan –url https://tusitio.com -U admin -P rockyou.txt –max-threads 10

Si WPScan consigue entrar con una contraseña del diccionario, tienes un problema crítico entre manos. Corrígelo de inmediato: contraseñas de más de 16 caracteres y autenticación en dos pasos, siempre.

Interpretar resultados y corregir los hallazgos

Un informe típico de WPScan devuelve alertas como esta:

[!] Title: Contact Form 7 < 5.3.9 – Unrestricted File Upload
[!] Fixed in: 5.3.9
[!] References: https://wpscan.com/vulnerability/xxxx

¿Y ahora qué? Mi forma de priorizar:

1. Crítico: vulnerabilidades con explotación remota (RCE, subida de archivos, inyección SQL). Actualiza o elimina el componente el mismo día.
2. Alto: XSS almacenado, escalada de privilegios en plugins. Actualiza en 24-48 horas.
3. Medio/Bajo: divulgación de información, headers ausentes. Programa la corrección en el siguiente ciclo de mantenimiento.

Tras cada hallazgo, aplica el remedio y vuelve a lanzar WPScan. La alerta debería desaparecer; si no, algo no se arregló del todo.

Automatizar auditorías periódicas

La seguridad no es un evento puntual. Un cron job semanal te ahorra muchos dolores de cabeza:

0 4 * * 1 wpscan –url https://tusitio.com –api-token TU_TOKEN -e vp,vt –format json -o /var/log/wpscan/informe.json

Con –format cli o –format email puedes recibir el informe directamente. ¿Gestionas varios sitios? Un script bash que itere sobre un listado de URLs te ahorra horas de trabajo manual.

Conclusión: audita, corrige y repite

Auditar seguridad WordPress con WPScan es rápido, gratuito, y revela en minutos lo que un atacante tardaría en descubrir: versiones vulnerables, usuarios expuestos, malas configuraciones. El proceso, en esencia, es sencillo: instala la herramienta, obtén tu API token, ejecuta el escaneo con las opciones de enumeración adecuadas, remedia los hallazgos por orden de criticidad y automatiza todo el proceso cada semana.

Eso sí, la herramienta es solo una parte de la ecuación. Un hosting bien configurado, con firewall a nivel de servidor, copias de seguridad automáticas y soporte técnico disponible cuando lo necesitas marca la diferencia. En RedServicio.net ofrecemos hosting optimizado para WordPress con soporte 24/7 y monitorización continua, para que tu auditoría empiece siempre desde una base sólida. ¿Listo para blindar tu web? Empieza hoy mismo.