Tras un hackeo a un paquete de plugins muy popular de WordPress, EssentialPlugin, miles de sitios web se han visto afectados. Esto supone que esas páginas podrían distribuir malware. Tienen código malicioso y eso puede dar lugar a que los atacantes obtengan acceso no autorizado. Vamos a explicarte en qué consiste, cómo puede afectarte y, también, qué hacer si tienes un sitio web vulnerable.
Este problema ha sido descubierto por parte del investigador de seguridad Austin Ginder. Puedes ver su publicación en Anchor Hosting, donde explica todo lo que ha ocurrido, además del listado de complementos afectados. No es algo reciente, ya que el atacante insertó código malicioso el pasado agosto de 2025, pero sí ha sido recientemente cuando ha empezado a distribuirlo a los usuarios a través de actualizaciones.
Problema para miles de sitios con WordPress
Esto supone que el atacante pueda generar páginas de Spam, provocar redirecciones maliciosas y llevar a los usuarios a sitios diferentes. Utiliza un servidor de comando y control para gestionar todo esto. El hecho de que afecte a miles de páginas web, se debido a que son muchos los sitios que tienen instalaciones activas de plugins que proceden de EssentialPlugin. En total, más de 30 complementos afectados.
Austin Glinder detectó este problema después de recibir un aviso sobre un complemento de WordPress que contenía código que permitía el acceso a terceros. A partir de ahí, empezó una investigación y comprobó que se trataba de una puerta trasera que había estado presente en el paquete EssentialPlugin desde agosto de 2025, que fue cuando este proyecto cambió de dueño.
Hay que indicar que EssentialPlugin cuenta con muchos complementos, los cuales son utilizados por infinidad de sitios web. Por ejemplo, dispone de un carrusel de noticias, para que vayan apareciendo los últimos artículos, así como galerías, herramientas de marketing, temas o utilidades de SEO.
Esa puerta trasera, presente desde hace meses, ha estado inactiva hasta que, recientemente, se ha activado y contactó, de forma silenciosa, con la infraestructura externa para obtener un archivo denominado wp-comments-posts.php, que es el que inyecta el malware en wp-config.php.
Malware invisible
Los responsables de los sitios web afectados, no notan ningún cambio en su sitio. Se trata de un malware invisible, capaz de evadir la detección. Según las instrucciones que reciba, podría obtener enlaces de Spam, redirecciones o páginas falsas.
Según un análisis de PatchStack, una plataforma de seguridad de WordPress, publicado con fecha de 15 de abril, muestra que la puerta trasera únicamente funcionaba si el endpoint analytics.essentialplugin.com devolvía contenido serializado malicioso.
Por parte de WordPress, actuaron rápidamente y desactivaron o actualizaron esos plugins afectados. No obstante, algunos desarrolladores han indicado que esa acción no elimina el archivo de configuración principal wp-config, que se encarga de conectar los sitios web con sus bases de datos.
Además, desde WordPress indican que, si bien una ubicación conocida para la puerta trasera es un archivo llamado wp-comments-posts.php, similar al archivo legítimo wp-comments-post.php, el malware también podría ocultarse en otros archivos.
Si tienes un sitio web, y utilizas complementos de EssentialPlugin, de forma preventiva lo mejor que puedes hacer es deshabilitarlos por el momento. Realizar una completa auditoría, revisar quién es el desarrollador o si están actualizados correctamente, es clave. Conviene desconfiar de complementos que hayan cambiado de propietario.
Por ahora, no hay comunicación oficial por parte de EssentialPlugin haciendo mención a este problema. Se estima, eso sí, que hay entre 20.000 y 60.000 instalaciones.