Plugins y temas «nulled»: el origen de muchos hackeos en WordPress
Un plugin "nulled" es la versión pirata de un plugin o tema pago: alguien le quitó la verificación de licencia y lo publica gratis. Parece un ahorro, pero muchas veces es la forma más directa de meter una puerta trasera en su WordPress. Le explicamos qué traen escondido, cómo saber si su sitio tiene uno y cómo reemplazarlo sin romper nada.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es un plugin o tema nulled
Los plugins y temas premium (constructores visuales, plantillas, formularios avanzados, herramientas de migración) se venden con una licencia que da acceso a actualizaciones y soporte. Una versión «nulled» es una copia a la que le quitaron, o «anularon», esa verificación de licencia.
Se distribuyen en sitios de descargas, foros y grupos, muchas veces con nombres como «Pro desbloqueado», «unlimited» o «GPL gratis». Algunos sitios que los publican los usan para captar visitas con publicidad. Otros, para distribuir malware.
Qué riesgos trae un plugin nulled
Puertas traseras instaladas de fábrica
El caso más conocido es WP-VCD, una infección que se propagó escondida en temas y plugins nulled: creaba usuarios administradores ocultos, inyectaba publicidad y se copiaba a los demás temas del servidor.
Spam y redirecciones
Código que inserta enlaces ocultos, páginas de spam o redirecciones solo para ciertos visitantes, lo que deriva en avisos de Google.
Sin actualizaciones de seguridad
Aunque la copia esté limpia, queda congelada en una versión. Cuando se publica una falla, usted no recibe el parche. Y el 46 % de las fallas del ecosistema WordPress se hace pública antes de que haya parche, así que la demora se suma.
Versiones desincronizadas
Un plugin gratuito actualizado junto a su complemento «Pro» pirata y viejo puede tirar abajo el sitio entero.
Actualizar WordPress sin romper el sitioProblemas legales y de soporte
Sin licencia no hay soporte del fabricante, y en algunos casos el uso infringe los términos del producto.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Lo que vemos en la práctica
En revisiones de rutina encontramos con frecuencia plugins pirata instalados sin que el dueño del sitio lo supiera: los puso la agencia o el desarrollador para ahorrar una licencia. Un caso típico es la versión «unlimited» de un plugin de migración, presente en varios sitios del mismo cliente. No tenía malware, pero quedaba congelado en una versión vieja y sin parches.
Otro caso común es el de los constructores visuales: el plugin gratuito se actualiza solo y la versión Pro pirata, que nunca se actualiza, deja de ser compatible. Resultado: el sitio cae de un día para otro.
Por qué se usan plugins nulled (y qué hacer en su lugar)
Casi nadie instala un plugin pirata por mala fe. Las razones suelen ser otras, y todas tienen una alternativa legítima:
«La licencia es en dólares y es cara»
Muchas funciones premium tienen una alternativa gratuita y mantenida en el repositorio oficial de WordPress. Y una licencia anual cuesta menos que una sola limpieza de urgencia.
«Lo instaló la agencia»
Algunas agencias usan una licencia propia «de desarrollador» en todos sus clientes, o directamente versiones pirata. Pida que la licencia quede a nombre de su empresa: si cambia de agencia, sigue recibiendo actualizaciones.
«Solo lo necesitaba una vez»
Para una migración o una importación puntual, use la versión gratuita oficial o el plan mensual del plugin. Después, bórrelo.
«Es GPL, es legal»
La licencia GPL permite redistribuir el código, pero el sitio que se lo da gratis no tiene ninguna obligación de entregarlo sin modificar. Ahí está el riesgo.
Cómo funcionaba WP-VCD, el caso más conocido
WP-VCD es un buen ejemplo de por qué un plugin nulled es tan peligroso. Se distribuyó durante años en temas y plugins premium pirata:
Al activarse
Copiaba su código a los demás temas instalados en el servidor, incluso en otros sitios de la misma cuenta.
Creaba un usuario administrador oculto
Que no aparecía en la lista de usuarios del panel.
Inyectaba publicidad y redirecciones
Para generar ingresos al atacante.
Se reinstalaba solo
Si alguien borraba una parte del código.
Por eso, cuando se encuentra un plugin nulled infectado, no alcanza con borrarlo: hay que revisar todos los temas, plugins y usuarios del servidor. → Cómo escanear WordPress en busca de malware
Cómo saber si su sitio tiene un plugin o tema nulled
- 01
Liste los plugins y temas premium
Constructores visuales, temas comprados en marketplaces, plugins con funciones «Pro». Son los candidatos.
- 02
Pregunte por las licencias
¿Quién las compró? ¿A nombre de quién? Si nadie tiene la factura ni la cuenta del proveedor, es una señal fuerte.
- 03
Mire si recibe actualizaciones
Un plugin premium con licencia válida muestra actualizaciones en el panel. Si está varias versiones atrás de la publicada por el fabricante y no ofrece actualizar, probablemente no tenga licencia.
- 04
Busque código que no corresponde
Archivos con nombres genéricos (
class.plugin-modules.php,wp-tmp.php), código ofuscado conbase64_decodeoeval, o llamadas a dominios desconocidos. → Cómo escanear WordPress en busca de malware - 05
Revise los usuarios administradores
WP-VCD y otras infecciones parecidas crean administradores ocultos. Compare la lista de usuarios con quienes realmente deberían tener acceso.
Cómo reemplazar un plugin nulled sin romper el sitio
- 01
Haga una copia completa
Antes de tocar nada. → Copias de seguridad en WordPress
- 02
Compre la licencia o elija una alternativa
Muchas veces existe una alternativa gratuita y legítima en el repositorio oficial de WordPress que hace lo mismo.
- 03
Instale la versión oficial encima
Descargue el plugin desde la cuenta del fabricante y reemplace los archivos. Pruébelo primero en un sitio de prueba si el plugin es crítico (constructor visual, tienda).
- 04
Escanee y limpie
Reemplazar el plugin no borra lo que haya dejado instalado en otras carpetas o en la base de datos. Si encuentra rastros de infección, hace falta una limpieza completa.
- 05
Cambie las claves y revise los usuarios
Si el plugin tenía una puerta trasera, pudieron haber robado claves o creado usuarios.
Para el resto de las medidas, vea la guía de seguridad en WordPress.
Checklist después de quitar un plugin nulled
- Plugin o tema reemplazado por la versión oficial, o por una alternativa del repositorio de WordPress.
- Escaneo completo del sitio y de los demás sitios de la misma cuenta de hosting.
- Lista de administradores revisada: ningún usuario que no reconozca.
- Claves cambiadas: WordPress, hosting, FTP, base de datos y correo.
- Copias de seguridad nuevas, separadas de las anteriores (que pueden contener el plugin infectado).
- Licencias a nombre de la empresa, con alguien responsable de renovarlas.
Si no sabe por dónde empezar, una auditoría de seguridad web revisa plugins, temas, licencias y usuarios, y le dice qué reemplazar. Si ya hay síntomas de infección, vaya directo a la limpieza de sitio hackeado.
Servicios relacionados
Preguntas frecuentes
¿Todos los plugins nulled tienen malware?
No todos, pero no hay forma de saberlo con certeza sin revisar el código. Y aunque estén limpios, quedan sin actualizaciones de seguridad.
¿Es legal usar un plugin nulled?
Muchos plugins de WordPress tienen licencia GPL, que permite redistribuir el código. Pero eso no incluye las actualizaciones, el soporte ni la garantía de que nadie lo haya modificado. El riesgo de seguridad existe aunque la licencia lo permita.
Mi agencia me instaló un tema premium. ¿Cómo sé si es original?
Pídale la factura o el acceso a la cuenta del proveedor. Si el tema recibe actualizaciones desde el panel, en general la licencia es válida.
¿Un plugin de seguridad detecta los plugins nulled?
A veces detecta el malware que traen, pero no el hecho de que sean pirata. Una puerta trasera bien escondida puede pasar desapercibida.
¿Qué hago si ya me hackearon por un plugin nulled?
Reemplazarlo no alcanza: hay que limpiar todo lo que haya dejado y cerrar la vía de entrada. → Limpieza de sitio hackeado
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerSeguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
Leer¿No sabe si su sitio tiene plugins pirata?
Lo revisamos: verificamos plugins, temas y licencias, y le decimos qué reemplazar.
¿Consulta urgente? WhatsApp 095 283 123