¿Cuál es el vector de ataque más realista contra un WordPress “bien configurado”?

En las auditorías pasivas que realizamos encontramos un patrón que se repite con más frecuencia de la que debería:

El ataque más factible casi nunca es un 0-day ni un exploit sofisticado de la versión del core o de un plugin.
Es, con diferencia, el credential stuffing / fuerza bruta contra un usuario ya expuesto.

¿Por qué es tan peligroso?

• La API REST de WordPress ya ha hecho el trabajo de reconocimiento por el atacante: el nombre de usuario queda confirmado sin necesidad de adivinarlo.
• Cuando no existe WAF ni limitación de intentos en wp-login.php, no hay nada que frene los intentos automatizados.
• No se necesita ninguna vulnerabilidad de código. Solo un diccionario de contraseñas y paciencia.

Este es el ataque más barato de ejecutar y, según nuestra experiencia en auditorías reales, el que más compromisos de sitios WordPress provoca en la práctica. La mayoría de los “hackeos” de WordPress no vienen de vulnerabilidades zero-day: vienen de credenciales débiles o reutilizadas.

¿Qué implica esto para tu web?

Si en una auditoría pasiva detectamos:

1. Usuario administrador o de alto privilegio expuesto públicamente, y
2. Ausencia de protecciones básicas en el endpoint de login,

la probabilidad de compromiso por fuerza bruta o credential stuffing es alta. Y es un riesgo que se puede mitigar de forma relativamente sencilla… si se conoce a tiempo.

En nuestras auditorías pasivas de vulnerabilidades WordPress identificamos exactamente este tipo de combinaciones de fallos (exposición de usuarios + falta de rate-limiting + otras debilidades de configuración) sin lanzar ningún ataque activo. Solo observación y análisis.

Si quieres saber si tu sitio presenta este u otros vectores de alto impacto, consulta el servicio aquí o escríbeme y te cuento cómo trabajamos.