Un escaneo de vulnerabilidades WordPress que vuelve limpio no garantiza que tu sitio esté libre de amenazas. Los scanners detectan lo que ya está documentado en sus bases de datos: si el ataque es nuevo, obfuscado o entró al servidor antes de que existiera la firma, el resultado dice «todo bien» aunque el problema esté ahí desde hace meses.
En 30 segundos
- Un resultado limpio confirma ausencia de amenazas conocidas al momento del scan, no ausencia de amenazas en general.
- Los scanners remotos no pueden ver archivos internos del servidor: backdoors, code injection y archivos modificados quedan invisibles.
- Wordfence, WPScan y Sucuri tienen accesos y coberturas distintos, ninguno ve todo.
- En abril de 2026 se reportaron 107 CVEs solo en el ecosistema WordPress, a un ritmo de 80-100 por semana.
- Las actualizaciones automáticas previenen el 90% de los ataques conocidos; el scanner complementa esa protección, no la reemplaza.
¿Por qué un scanner limpio no garantiza que estés 100% seguro?
Un escaneo de vulnerabilidades WordPress es una foto de un momento específico, comparado contra una base de datos de amenazas conocidas. Si tu sitio tiene un backdoor instalado hace seis meses mediante una vulnerabilidad que ya fue parcheada, el scanner puede decirte «limpio» sin mentirte: la vulnerabilidad ya no existe, pero el acceso que dejó sí (spoiler: ese acceso puede seguir activo).
Esto es lo que se llama un falso negativo: el scanner no detectó un problema real. Y pasa más seguido de lo que pensás.
Según WPSec, hay tres limitaciones estructurales que ningún scanner resuelve del todo:
- Solo detectan lo conocido. Si el malware es nuevo, customizado o tiene ofuscación no documentada, la firma no existe y el scanner lo ignora.
- No acceden al servidor. Un scanner remoto ve lo mismo que un visitante del sitio: el HTML que llega al navegador. Los archivos PHP internos son invisibles.
- No revisan logs de acceso. Un atacante puede haber entrado, robado datos y salido sin dejar rastro visible en el frontend.
En 2026, el volumen de amenazas no bajó: entre 80 y 100 vulnerabilidades nuevas por semana en el ecosistema WordPress. Solo en abril de 2026 se documentaron 107 CVEs. A ese ritmo, una base de datos desactualizada por 48 horas ya representa un hueco.
¿Qué hace un scanner remoto y qué no ve?
Ponele que contratás un servicio de escaneo externo para tu WordPress. Lo que hace ese scanner es conectarse a tu sitio como cualquier usuario, recorrer URLs públicas, revisar cabeceras HTTP, buscar versiones de plugins en el código fuente y cruzar todo eso contra una base de vulnerabilidades, todo desde afuera, lo configura, lo corre, el resultado dice «sin problemas» y vos cerrás la pestaña tranquilo.
Lo que no puede hacer: abrir tu functions.php, ver si hay código inyectado en wp-config.php, revisar si hay un .htaccess modificado, o chequear si hay un usuario administrador oculto creado hace tres semanas sin pasar por el panel.
No es negligencia del scanner. Es un límite físico.
Para ver eso necesitás un plugin que corra dentro del servidor, con acceso al sistema de archivos. Ahí la diferencia entre un scanner remoto y uno local se vuelve enorme. Te puede servir nuestra cobertura de configurar autenticación de dos factores.
¿Cuáles son las diferencias entre Wordfence, WPScan y Sucuri?
Las tres herramientas más usadas para el escaneo vulnerabilidades WordPress tienen modelos completamente distintos. No son intercambiables y no compiten en lo mismo.
Wordfence: el que corre adentro del servidor
Plugin que corre directamente en tu servidor WordPress. Al tener acceso al sistema de archivos, puede comparar cada archivo contra las versiones originales del repositorio oficial. Si alguien modificó un archivo core, lo detecta. Si hay código PHP obfuscado en un tema, lo marca. Tiene también WAF (firewall de aplicación web) y bloqueo de requests maliciosos en tiempo real.
La versión gratuita es funcional para la mayoría de los sitios. La versión premium (USD 119/año por sitio) actualiza las reglas del firewall en tiempo real en vez de con 30 días de delay (lo cual marca bastante diferencia si sale un exploit el martes y vos lo recibís el jueves del mes siguiente).
WPScan: la base de CVEs más completa para WordPress
Herramienta de línea de comandos con base de datos de vulnerabilidades constantemente actualizada. Su fortaleza es la cobertura de plugins, temas y WordPress core con CVEs específicos y bien documentados. En el plan gratuito tenés 25 requests por día vía API; el plan Starter arranca en USD 25/mes para mayor volumen.
El punto débil es claro: es externo. No analiza archivos internos. Te dice «este plugin tiene una versión vulnerable» pero no si ya fue explotada esa vulnerabilidad.
Sucuri: reputación, blacklists y lo visible en el frontend
Scanner externo que revisa si tu dominio aparece en listas negras de Google, Norton o McAfee. Bueno para detectar defacement (cuando el atacante ya modificó páginas visibles) y redirecciones maliciosas. Detecta backdoors que se activaron y dejaron código visible en el HTML de salida. Lo que no puede hacer: acceder a archivos internos del servidor, igual que WPScan.
| Herramienta | Tipo | Archivos internos | Backdoors ocultos | WAF incluido | Plan gratuito |
|---|---|---|---|---|---|
| Wordfence | Plugin local | Sí | Sí (si tiene firma) | Sí | Sí (reglas con 30d delay) |
| WPScan | CLI / API externa | No | No | No | 25 requests/día |
| Sucuri | Externo (SaaS) | No | Parcialmente | Solo plan pago | Sí (escaneo básico) |
¿Qué es un falso negativo en WordPress y por qué pasa?
Falso negativo: el scanner dice «limpio» pero hay algo ahí. Los motivos son tres: Esto se conecta con lo que analizamos en medidas de seguridad más allá del scanner.
- Base de datos desactualizada. Si el malware tiene 48 horas y la firma todavía no fue documentada, no hay match. El scanner lo ignora.
- Ofuscación del código. PHP codificado con base64, variables encadenadas o funciones eval() anidadas puede evadir la detección por firma. El scanner ve «código raro» pero sin firma exacta no lo marca como malicioso.
- Malware dormido. Código que se activa bajo condiciones específicas: un parámetro GET particular, una IP determinada, o una fecha. En un escaneo normal no se activa y no aparece.
¿Qué reduce la probabilidad de un falso negativo? Usar múltiples scanners con enfoques distintos. Si Wordfence, WPScan y Sucuri los tres dicen «limpio», la confianza sube. No a cero riesgo, pero sube de forma significativa.
¿Qué es un backdoor y cómo permanece oculto en WordPress?
Un backdoor es código que un atacante deja para poder volver cuando quiera, incluso si se cambió la contraseña, se actualizó el plugin vulnerable o se restauró el sitio desde backup (si el backup también estaba comprometido, lo cual pasa más seguido de lo que parece).
Métodos de ocultamiento comunes: inyectar código en functions.php de un tema hijo, crear un archivo PHP con nombre genérico de sistema en la raíz como wp-feed.php, o agregar un usuario administrador directamente en la base de datos sin pasar por el panel de WordPress.
Si el backdoor es custom, escrito específicamente para esa campaña de ataque y no circuló antes en la web, ninguna base de firmas lo tiene. El scanner lo ignora. Servicios de limpieza como Sucuri pueden encontrarlos porque suman análisis comportamental al de firma, aunque esa capacidad no está disponible en los planes básicos.
¿Con qué frecuencia hay que escanear el WordPress?
Las actualizaciones automáticas valen más que el escaneo frecuente. Activarlas para plugins, temas y core elimina el 90% de los vectores de ataque conocidos antes de que el scanner tenga que detectarlos. El scanner busca el daño; las actualizaciones lo previenen.
Dicho esto, los tiempos razonables:
- Mínimo semanal, especialmente si el sitio maneja ecommerce o datos de usuarios.
- Inmediatamente después de actualizar plugins, temas o WordPress core. El riesgo es bajo pero real.
- Después de cualquier cambio en producción: instalación de plugins nuevos, uploads de archivos, modificaciones en functions.php.
El monitoreo continuo de Wordfence, que revisa cambios en archivos en tiempo real, supera en efectividad a cualquier scan puntual semanal. La diferencia es que uno es una foto y el otro es un video. Relacionado: vulnerabilidades que los scanners no detectan.
¿Cómo reducís el riesgo si el scanner dice que está limpio?
Un scanner es una capa de defensa, no la estrategia completa. Las capas que reducen el riesgo a niveles manejables:
- Actualizaciones automáticas activadas. Es el cambio de mayor impacto. WordPress permite activarlas para plugins, temas y core desde el panel de administración.
- WAF activo. Wordfence lo incluye en el plugin. Bloquea requests maliciosos antes de que lleguen a PHP.
- Múltiples scanners con distintos accesos. Wordfence para análisis interno, WPScan para CVEs de plugins, Sucuri para reputación y blacklists.
- Backups fuera del servidor. El backup en el mismo hosting puede estar comprometido. Storage externo con al menos 30 días de retención.
- Monitoreo de logs de acceso. Un pico de 404 en URLs raras o accesos a wp-login desde IPs desconocidas son señales que ningún scanner da proactivamente.
- Acceso a wp-admin restringido. Limitación por IP o autenticación de dos factores. Elimina la mayor superficie de ataque antes de que el scanner tenga que actuar.
Si tu WordPress corre en un hosting con soporte proactivo, muchas de estas capas ya están activas a nivel servidor. Para sitios en Argentina, donweb.com incluye protección perimetral y backups diarios en sus planes de hosting WordPress.
Qué está confirmado y qué todavía no queda claro
- Confirmado: Los scanners remotos no acceden a archivos internos del servidor. Es una limitación estructural, no de implementación.
- Confirmado: En abril de 2026 se registraron 107 CVEs en el ecosistema WordPress (plugins, temas y core combinados).
- Confirmado: Wordfence tiene acceso al sistema de archivos porque corre como plugin dentro del servidor.
- Confirmado: WPScan ofrece plan gratuito con 25 requests/día vía API; planes pagos desde USD 25/mes.
- No está claro: El porcentaje exacto de falsos negativos entre herramientas no tiene benchmark público independiente actualizado para 2026. Los datos que circulan provienen del propio fabricante.
Errores comunes al confiar en un escaneo de WordPress
Error 1: Creer que «limpio» significa «seguro». Un resultado limpio confirma ausencia de amenazas conocidas al momento del scan. Malware nuevo, backdoors preexistentes o código obfuscado no aparecen en el resultado. Tratalo como «sin incidentes detectados», no como garantía de seguridad.
Error 2: Usar solo un scanner. Wordfence puede detectar lo que WPScan no y viceversa. Con uno solo, heredás los puntos ciegos de ese uno. La corrección: al menos dos con enfoques distintos, uno local más uno externo.
Error 3: Escanear una vez y olvidarse. En 2026 salen entre 80 y 100 vulnerabilidades nuevas por semana. Un sitio limpio el lunes puede tener un plugin vulnerable el miércoles. La corrección: escaneo continuo o mínimo semanal.
Error 4: Instalar el plugin de seguridad sin configurarlo. Wordfence en modo Learning no bloquea activamente (lo cual sorprende a mucha gente que asume que instalarlo alcanza). Hay que activar Extended Protection y revisar las alertas después de instalarlo.
Error 5: Hacer backup en el mismo servidor. Si el servidor está comprometido, el backup también. Un atacante con acceso puede modificar o eliminar los backups locales. La corrección: backup externo con al menos 30 días de retención. Ya lo cubrimos antes en implementar un firewall de aplicación.
Preguntas Frecuentes
¿Mi escaneo de WordPress limpio significa que estoy 100% protegido?
No. Confirma que no hay vulnerabilidades ni malware conocidos al momento del escaneo. Amenazas nuevas, backdoors instalados antes de que la firma existiera, o malware con ofuscación avanzada no aparecen en el resultado. El escaneo es una capa de defensa, no una garantía de seguridad total.
¿Cuáles son las mejores herramientas para escanear vulnerabilidades en WordPress?
Wordfence (plugin local con acceso interno al servidor), WPScan (CLI con base de datos de CVEs actualizada, plan gratuito de 25 requests/día) y Sucuri (scanner externo con detección de reputación y blacklists). La combinación de un scanner local más uno externo da cobertura significativamente mayor que cualquiera de los dos solos.
¿Por qué los scanners no detectan todo el malware en WordPress?
Porque trabajan con firmas de amenazas conocidas. Si el malware es nuevo, custom, o usa ofuscación con base64 o eval(), no hay firma para comparar. Los scanners remotos tampoco pueden acceder a archivos internos del servidor: un backdoor en functions.php es invisible desde afuera.
¿Con qué frecuencia debo escanear mi WordPress?
Mínimo semanal, y después de cada actualización de plugins, temas o core. Con Wordfence activo el monitoreo es continuo en tiempo real, lo que supera a cualquier scan puntual. Activar las actualizaciones automáticas reduce el 90% de los vectores de ataque antes de que el scanner tenga que detectarlos.
¿Qué diferencia hay entre Wordfence y WPScan para detectar vulnerabilidades?
Wordfence corre dentro del servidor y compara cada archivo con la versión oficial de WordPress, detectando modificaciones en archivos core y código malicioso interno. WPScan es externo: su fortaleza es la base de datos de CVEs y puede informar qué versiones de plugins tienen vulnerabilidades conocidas, pero no si esa vulnerabilidad ya fue explotada en tu servidor.
Conclusión
Un escaneo limpio es buena señal, no una garantía. Los scanners detectan lo conocido y lo público. Lo desconocido, lo obfuscado y lo que ya está instalado adentro del servidor es invisible para la mayoría de las herramientas si solo corrés un scan remoto.
Con 80-100 vulnerabilidades nuevas por semana en el ecosistema WordPress, el escaneo tiene que ser parte de una estrategia más amplia: actualizaciones automáticas activadas, WAF activo, backups externos con retención, y monitoreo de logs. Si usás solo Wordfence, está bien. Si sumás WPScan para verificar CVEs de plugins y Sucuri para reputación, mejor todavía.
Los atacantes trabajan en la brecha entre un scan semanal y el momento en que aparece una vulnerabilidad nueva. La defensa en capas reduce esa brecha. Confiar en un scanner solo la amplía.