Elementor y complementos: ¿tu versión es vulnerable?

Si has llegado aquí es porque alguien te ha dicho que Elementor tiene un fallo de seguridad, o porque tu web hace algo raro y sospechas del constructor visual. Lo que necesitas saber ahora mismo es sencillo: qué versión tienes, si esa versión está al día y, sobre todo, qué complementos de terceros has ido acumulando alrededor de Elementor, porque ahí es donde suele estar el problema real. En diez minutos puedes tener la respuesta sin tocar nada delicado.

Vamos por orden: primero mirar, después decidir, y solo al final actualizar. Actualizar a ciegas un constructor visual es la forma más rápida de descolocar una web que funcionaba.

Dónde se ve la versión de Elementor y la de Elementor Pro

Elementor son en realidad dos plugins distintos: el gratuito (elementor) y, si lo has comprado, el de pago (elementor-pro). Se actualizan por separado y pueden ir descompasados, así que hay que mirar los dos.

La vía rápida, desde el escritorio de WordPress:

Entra en Plugins → Plugins instalados.
Busca Elementor y Elementor Pro. Debajo de cada nombre verás Versión X.Y.Z.
Si aparece un aviso de «hay una nueva versión disponible», anótalo pero no pulses todavía.

La vía completa, que además te sirve para el resto del artículo, está en Elementor → Información del sistema. Ahí tienes la versión de Elementor, la de Pro, la de WordPress, la de PHP, el tema activo y el listado de plugins activos con sus versiones. Es la pantalla que conviene copiar y guardar antes de tocar nada, porque si algo se rompe sabrás exactamente de dónde vienes.

Si no puedes entrar al escritorio, la versión también está en el propio archivo. Por FTP o desde el gestor de archivos de tu hosting, abre /wp-content/plugins/elementor/elementor.php y mira la cabecera del principio: hay una línea Version: X.Y.Z. Lo mismo en /wp-content/plugins/elementor-pro/elementor-pro.php.

El caso especial de Elementor Pro con la licencia caducada

Elementor Pro sigue funcionando con la licencia caducada, pero deja de recibir actualizaciones. Ahí es donde cae mucha gente: la web va bien, nadie ve un aviso llamativo y el plugin se queda congelado. Compruébalo en Elementor → Licencia: si la suscripción expiró, tienes un plugin sin parches en la parte más sensible de tu web.

El punto débil real: los complementos de terceros que amplían Elementor

Elementor tiene un equipo detrás que publica parches y avisa. El problema no suele ser ese. El problema es el ecosistema de addons: paquetes de widgets extra que instalaste (o instaló tu agencia) para tener un carrusel, un contador o un formulario más bonito. Son plugins normales de WordPress, con su propio código, sus propias llamadas AJAX y su propio mantenimiento, que a menudo es ninguno.

Los que más se repiten en webs españolas son del estilo de Essential Addons, Premium Addons, Happy Addons, ElementsKit, Royal Elementor Addons, PowerPack o los widgets de Crocoblock. No digo que sean inseguros: son productos serios. Digo que cada uno amplía la superficie de ataque y que casi nadie los tiene al día, porque muchos se instalaron para usar un único widget en una única página.

Esta es la idea que conviene interiorizar y que desarrollo en la guía sobre vulnerabilidades en plugins de WordPress y cómo saber si te afectan: la mayoría de webs comprometidas no cayeron por WordPress ni por el plugin famoso, sino por el complemento secundario que nadie recordaba tener instalado.

Cómo listar qué complementos de Elementor tienes y cuáles ya no se mantienen

Haz el inventario de verdad, no de memoria:

En Plugins → Plugins instalados, mira la lista completa, incluidos los desactivados. Un plugin desactivado no se ejecuta en condiciones normales, pero sus archivos siguen en el disco y no aporta nada tenerlo ahí. Si no lo usas, bórralo.
Fíjate en cualquier plugin cuyo nombre o descripción mencione Elementor, widgets, addons o «page builder».
Si tienes acceso a la consola, wp plugin list --fields=name,status,version,update te da todo de golpe.

Ahora, la pregunta clave para cada uno: ¿sigue vivo? Si es gratuito, entra en su ficha en wordpress.org y mira Última actualización y Probado hasta. Si la última actualización es de hace más de un año, o el aviso dice que no se ha probado con las últimas versiones de WordPress, trátalo como abandonado. Si es de pago, busca su registro de cambios (changelog) en la web del fabricante.

Para saber si alguno tiene fallos publicados, consulta bases de datos de vulnerabilidades de WordPress como las de Patchstack o WPScan buscando por el nombre exacto del plugin. Te dirán si hay un aviso y en qué versión se corrigió. Si el aviso te suena a chino, tienes el criterio para traducirlo en la guía sobre cómo leer un aviso de seguridad de un plugin y decidir si te corre prisa.

Qué tipo de fallos aparecen en los constructores visuales y qué permiten hacer

No hace falta ser técnico para entender las tres familias que aparecen una y otra vez en Elementor y sus addons:

Falta de comprobación de permisos en llamadas AJAX. El constructor habla con el servidor mientras editas. Si alguna de esas llamadas se olvida de comprobar quién eres, un usuario con rol bajo (un suscriptor de tu tienda) puede hacer cosas de administrador.
Inyección de código en los ajustes de un widget (XSS almacenado). El atacante guarda un fragmento de JavaScript en un campo del widget y se ejecuta después en el navegador de quien visita la página o de quien la edita.
Subida o importación de archivos sin control. Los constructores importan plantillas, iconos y fuentes. Si esa importación acepta un archivo que no debería, ahí tienes la puerta trasera.

La consecuencia práctica de las tres es la misma: alguien acaba con permisos de administrador o con un archivo PHP propio dentro de tu servidor. Por eso, cuando actualices, no basta con actualizar: hay que mirar si ya habían entrado.

Cómo actualizar Elementor sin que se descoloquen las plantillas

Elementor toca el diseño de todas tus páginas, así que aquí sí merece la pena el minuto extra de precaución. El procedimiento que funciona:

Copia de seguridad completa (archivos y base de datos), descargada. Una copia que no has verificado no es una copia.
Anota la versión actual de Elementor y de Elementor Pro, por si tienes que volver atrás.
Actualiza primero Elementor (el gratuito) y después Elementor Pro: Pro depende del núcleo, no al revés.
Actualiza los addons de terceros de uno en uno, revisando la web entre uno y otro. Si algo se rompe, sabrás cuál ha sido.
Termina en Elementor → Herramientas → General pulsando Regenerar archivos y datos. Muchos «se me ha descolocado todo» son en realidad CSS antiguo cacheado, y esto lo arregla.
Vacía la caché de tu plugin de caché y la de Cloudflare si la usas, y mira la web en una ventana de incógnito.

Elementor incluye dos redes de seguridad que conviene conocer antes de necesitarlas. En Elementor → Herramientas → Versiones puedes volver a la versión anterior del plugin con un botón (rollback). Y en Elementor → Herramientas → General tienes el Modo seguro, que carga el editor sin el tema ni el resto de plugins: si en modo seguro todo va bien, el culpable no es Elementor sino algo que convive con él.

Si el miedo a actualizar es lo que te tiene parado desde hace meses, el procedimiento completo con entorno de pruebas y vuelta atrás lo tienes en la guía sobre cómo actualizar los plugins de WordPress sin romper la web. Es el mismo método, aplicado a cualquier plugin.

Qué revisar en plantillas y widgets guardados después de actualizar

Actualizar cierra la puerta, pero no echa a quien ya estaba dentro. Después de subir de versión, dedica quince minutos a estas comprobaciones:

Usuarios → Todos, filtra por Administrador. ¿Los conoces a todos? ¿Hay alguno con un correo raro o registrado hace poco?
Plantillas → Plantillas guardadas y Plantillas → Popups (en Pro). Busca plantillas que tú no hayas creado; un popup es un sitio cómodo para colgar un script.
Si tienes Elementor Pro, mira Elementor → Código personalizado. Esa pantalla existe para inyectar scripts en toda la web, y por eso es el primer sitio donde miraría alguien que quiera dejar algo permanente y discreto.
Revisa el Constructor de temas (cabeceras y pies): un script ahí afecta a todas las páginas.
Comprueba si hay archivos .php en /wp-content/uploads/, donde no tiene sentido que haya ninguno. Con SSH: find wp-content/uploads -name "*.php".

Si encuentras un administrador que no reconoces o un PHP en uploads, ya no estás ante una actualización pendiente sino ante una web comprometida, y el orden cambia: primero contener, después limpiar.

Qué hacer si tu tema depende de una versión antigua de Elementor

Es la situación más incómoda y más frecuente de lo que parece: compraste un tema en un mercado de plantillas, ese tema trae sus propios widgets pegados a una versión concreta de Elementor y al actualizar se rompe media web. Tus opciones, de mejor a peor:

Actualizar el tema primero. Entra en la cuenta del mercado donde lo compraste y mira si hay actualización pendiente y qué dice su changelog.
Probarlo en un entorno de pruebas (staging) antes de tocar producción. Casi todos los hostings decentes lo ofrecen con un botón.
Escribir al autor del tema preguntando por la compatibilidad. Si no contesta, o la última actualización del tema es antigua, ya tienes la respuesta: el tema está abandonado y el problema no es Elementor.
Presupuestar la sustitución. Un tema abandonado que te impide parchear es una deuda que se paga entera y de golpe el día que entra alguien.

Este bloqueo es primo hermano del que sufre mucha gente con otro constructor: el plugin viene dentro del tema y no se actualiza solo. Si es tu caso, las salidas están detalladas en el artículo sobre qué hacer cuando WPBakery viene incluido con el tema y no puedes actualizarlo; el razonamiento vale igual para Elementor.

Mientras tanto, reduce exposición: quita los addons que no uses, desmarca Cualquiera puede registrarse en Ajustes → Generales si no tienes tienda ni área de clientes, y pon verificación en dos pasos a los administradores. No es una solución, es ganar tiempo con criterio.

Todo lo anterior lo puedes hacer tú en una mañana tranquila, sin pagar a nadie. Donde sí conviene una mano externa es cuando ya has encontrado indicios: un administrador desconocido, archivos que no pusiste o una web que se comporta distinto para Google que para ti. Eso ya no se arregla actualizando.

Antes de dar el asunto por cerrado, vale la pena mirar tu web desde fuera, como la ve un visitante o un buscador: comprueba gratis con PathScan si tu web muestra rastros de un plugin explotado. No hace falta registrarse ni instalar nada y no toca tu instalación: solo analiza lo que tu web ya está publicando.

Seguir leyendo en esta sección

Ver todo en Avisos de plugins concretos → · Mapa completo del sitio