Plugins nulled vs originales: el riesgo real en WordPress

Código original, "activado" y "nulled": las tres definiciones

Los tres términos describen el mismo plugin en tres estados distintos según quién tocó el código y desde dónde llegó el archivo.

Un plugin de código original es el archivo tal como lo publicó su desarrollador, sin modificaciones, descargado del repositorio oficial de WordPress, del sitio del autor o de una tienda autorizada. Si es premium, pedirá una clave de licencia para desbloquear funciones y recibir actualizaciones.

Un plugin "activado" es una copia a la que alguien modificó la comprobación de licencia para que no pida clave, dejando —en teoría— el resto del código intacto.

Un plugin "nulled" es una copia con la verificación de licencia eliminada y distribuida desde sitios no oficiales, que con frecuencia incluye modificaciones adicionales: puertas traseras, enlaces ocultos o código que se conecta a un servidor externo.

La diferencia entre "activado" y "nulled" la establece quien distribuye el archivo, y no hay forma de comprobarla desde fuera. Ese es el punto central: para el usuario final ambos son un archivo de origen desconocido con acceso total a la base de datos y a los archivos del sitio.

Qué dicen los datos sobre plugins nulled

No hace falta especular sobre el riesgo: las empresas que limpian sitios infectados publican sus cifras.

El Informe de amenazas de WordPress 2020 de Wordfence encontró malware procedente de un plugin o tema nulled en 206.000 sitios, lo que representó más del 17% de todos los sitios infectados que detectó su escáner ese año, el segundo vector de infección más común. En ese mismo periodo su escáner identificó más de 70 millones de archivos maliciosos en 1,2 millones de sitios de WordPress.

La cifra tiene una lectura importante: no habla de plugins nulled que podrían traer malware, sino de sitios ya infectados en los que el origen del malware fue un archivo nulled. Y solo cuenta los sitios donde había un escáner instalado que lo detectara.

El caso más conocido es WP-VCD, una familia de malware que se propagó casi exclusivamente a través de temas y plugins nulled. Escondía su puerta trasera en archivos con nombres verosímiles, se replicaba a todos los demás sitios alojados en la misma cuenta de hosting y monetizaba mediante spam y redirecciones. Ese detalle de la propagación lateral es el que suele sorprender: instalar un plugin nulled en un sitio de pruebas puede infectar la web principal si comparten cuenta.

Qué hace realmente el código añadido

Cuando un archivo nulled trae código adicional, casi siempre encaja en una de estas cinco categorías, todas orientadas a monetizar tu sitio sin que lo notes:

• Puerta trasera (backdoor): un fragmento de código que permite al atacante ejecutar instrucciones en tu servidor cuando quiera, incluso meses después. Es lo que convierte un sitio comprometido en un problema recurrente: puedes borrar el plugin y seguir infectado.
• Spam de enlaces oculto: inserta enlaces invisibles para el visitante pero visibles para Google. Es la razón por la que un sitio empieza a posicionar para palabras que nunca escribió.
• Redirecciones condicionales: envía a otro sitio solo a los visitantes que llegan desde buscadores, o solo desde móvil, dejando intacta la experiencia cuando lo abre el administrador. Por eso el dueño suele ser el último en enterarse.
• Robo de datos: captura credenciales, formularios y, en tiendas, datos de pago.
• Uso de recursos: minado de criptomonedas o envío de correo masivo desde tu servidor, lo que además puede terminar con la IP del hosting en listas negras.

A esto se suma la consecuencia visible: si Google detecta el sitio comprometido, lo marca como no seguro en los resultados y el tráfico cae de golpe. Recuperar esa situación cuesta bastante más que la licencia que se quiso ahorrar.

El riesgo silencioso: quedarse sin actualizaciones

Aunque el archivo que descargaste estuviera perfectamente limpio, sigue habiendo un problema que se agrava con el tiempo: un plugin nulled no recibe actualizaciones de seguridad, y las vulnerabilidades de los plugins se publican en bases de datos abiertas que los atacantes rastrean de forma automatizada.

Las cifras del sector explican por qué eso importa. Según el informe State of WordPress Security in 2026 de Patchstack, en 2025 se descubrieron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress, un 42% más que el año anterior. De ellas, el 91% estaban en plugins, el 9% en temas y solo 6 en el núcleo de WordPress. El mismo informe señala que el 46% de las vulnerabilidades no tenían parche disponible en el momento de su divulgación.

Traducido a la práctica: el núcleo de WordPress es sólido y el riesgo vive casi por completo en los plugins. Un plugin premium legítimo publica su parche y tu sitio se actualiza solo; una copia nulled se queda congelada en la versión vulnerable, con el detalle de la vulnerabilidad publicado para cualquiera que quiera buscarla.

¿Es ilegal? Lo que dice realmente la GPL

Aquí conviene ser preciso en lugar de dramático, porque la respuesta honesta es "depende, y no es lo importante".

Los plugins de WordPress heredan la licencia GPL, que concede expresamente el derecho a usar, modificar y redistribuir el código, incluso con fines comerciales. Por eso la redistribución del código PHP de un plugin, en sí misma, no suele ser ilegal. Existen incluso tiendas que venden copias legítimas amparándose en esa cláusula.

Lo que la GPL no cubre es el resto:

• Las marcas registradas: usar el nombre y el logotipo del producto para vender copias es un terreno mucho más delicado.
• Los recursos con otra licencia: algunos productos combinan código GPL con imágenes, fuentes o JavaScript bajo licencias distintas, lo que se conoce como licencia dividida.
• Los términos del servicio: descargar de fuentes no autorizadas incumple las condiciones del desarrollador y puede costar el acceso a la cuenta y al soporte.

Y esta es la parte relevante: la legalidad no protege tu sitio. Aunque descargar el archivo fuera perfectamente legal en tu jurisdicción, el riesgo técnico sería idéntico. La pregunta que importa no es "¿me pueden demandar?" sino "¿quién compiló este archivo y qué le añadió?".

Cómo comprobar si ya tienes un plugin nulled o comprometido

Estas cinco comprobaciones se hacen en menos de veinte minutos y no requieren ser desarrollador:

1. 1 Verifica los checksums con WP-CLI. Compara los archivos instalados con los originales del repositorio oficial:

wp core verify-checksums
wp plugin verify-checksums --all

Cualquier archivo listado como modificado es una señal. Ten en cuenta el límite de esta prueba: solo cubre los plugins publicados en el repositorio oficial, no los premium.

1. 1 Busca archivos PHP en la carpeta de subidas. En wp-content/uploads nunca debería haber código ejecutable:

find wp-content/uploads -name "*.php"

Un resultado no vacío es motivo suficiente para escanear el sitio completo.

1. 1 Revisa la lista de usuarios administradores. En Usuarios → Todos, filtra por el rol de administrador. Una cuenta que no creaste, o una creada en una fecha en la que nadie tocó el sitio, es una puerta trasera clásica.

1. 1 Comprueba si el plugin ofrece actualizaciones. Un plugin premium instalado desde una fuente no oficial nunca mostrará actualizaciones legítimas, o pedirá descargarlas del mismo sitio no oficial.

1. 1 Compara lo que ve Google con lo que ves tú. Busca site:tudominio.com en Google. Si aparecen páginas que no publicaste —con palabras en otro idioma o de temáticas que no tienen nada que ver—, hay spam inyectado.

Si alguna de las cinco da señal, el siguiente paso es un escaneo completo con un plugin de seguridad reconocido y las medidas que detallamos en la guía sobre cómo mejorar la seguridad de tu sitio WordPress.

Qué hacer si ya instalaste uno

El orden importa, porque limpiar sin cerrar antes el acceso deja la puerta abierta para que el sitio se reinfecte en horas:

1. 1 Desactiva y elimina el plugin por completo, borrando su carpeta desde el gestor de archivos o por SFTP. Desactivarlo desde el panel no elimina el código que ya se ejecutó.
2. 2 Cambia todas las contraseñas: usuarios administradores de WordPress, base de datos, FTP/SFTP y panel de hosting. Un backdoor suele robar credenciales antes de hacer nada visible.
3. 3 Borra los usuarios administradores que no reconozcas y revisa las tareas programadas en el cron de WordPress.
4. 4 Escanea el sitio entero con un plugin de seguridad, no solo la carpeta del plugin retirado. El malware se copia a temas, a wp-includes y a otros sitios de la misma cuenta.
5. 5 Restaura una copia de seguridad anterior a la instalación si el sitio ya mostraba síntomas, y vuelve a instalar los plugins desde fuentes oficiales. Es más rápido y más fiable que perseguir archivos infectados uno a uno.
6. 6 Actualiza WordPress, temas y plugins a sus versiones actuales antes de volver a publicar.

Un detalle que se olvida a menudo: si tu hosting aloja varios sitios en la misma cuenta, hay que revisarlos todos. La propagación entre sitios de la misma cuenta fue precisamente el mecanismo que hizo tan efectivo a WP-VCD. Un alojamiento que aísle los recursos de cada cuenta limita ese salto, aunque no sustituye a la limpieza.

Alternativas reales cuando el presupuesto es el problema

Este es el punto donde la mayoría de artículos se convierten en sermón, así que vamos a lo concreto. Si la licencia no entra en el presupuesto, hay cuatro caminos que no comprometen el sitio:

• La versión gratuita del mismo desarrollador. Casi todos los plugins premium tienen una versión en el repositorio oficial que cubre lo básico, y si algún día compras la licencia la migración es directa, sin cambiar de herramienta.
• Alternativas de código abierto. Para formularios, SEO, caché, copias de seguridad, galerías y tiendas hay opciones libres mantenidas activamente y con comunidades grandes detrás.
• Comprar solo el año que necesitas. En la mayoría de productos, cuando la licencia caduca el plugin sigue funcionando y lo que se pierde son actualizaciones y soporte. Confírmalo en la política del desarrollador: permite planificar una renovación anual en vez de recurrir a copias modificadas.
• Prescindir del plugin. Muchas funciones premium resuelven necesidades que un sitio pequeño no tiene. Menos plugins es además menos superficie de ataque y menos consultas por página.

Y una recomendación que va en la dirección contraria a la venta: si tu sitio funciona bien con los plugins gratuitos que ya tienes, no necesitas la versión premium de nada. El motivo para pagar una licencia es una función que te falta, no la sensación de que la versión de pago es mejor por definición.