Slider Revolution —«RevSlider» para todo el mundo— es un caso de estudio en seguridad de WordPress. No porque sea mal producto, sino porque una vulnerabilidad suya de hace años sigue provocando infecciones hoy. El motivo es siempre el mismo: venía incluido con el tema, no aparece en la lista de plugins que actualizas y nadie recuerda que está ahí.
Esta guía es para salir de dudas en diez minutos: cómo saber si lo tienes, qué versión corre, y qué hacer con ella.
Por qué este plugin en concreto
En 2014 se hizo pública una vulnerabilidad que permitía descargar ficheros arbitrarios del servidor sin estar autenticado. Con eso se obtenía el wp-config.php, es decir, las credenciales de la base de datos. Campañas automatizadas la explotaron a escala durante meses y aún hoy hay escáneres que la prueban en cada WordPress que encuentran.
Lo relevante no es esa vulnerabilidad concreta —que está parcheada desde hace una década—, sino el patrón que dejó al descubierto:
- Los plugins empaquetados con el tema no se actualizan desde Plugins → Actualizaciones: dependen de que el autor del tema publique una versión nueva.
- Muchos autores de temas abandonaron el producto. El plugin sigue instalado y congelado en la versión de 2016.
- Como no aparece en el listado del repositorio oficial, los avisos de seguridad no le llegan al dueño de la web.
Es exactamente el mismo problema que describimos en WPBakery viene con mi tema y no puedo actualizarlo. Si tienes uno, es probable que tengas los dos.
Paso 1: ¿lo tienes instalado?
Tres comprobaciones, de la más fácil a la más fiable:
- En el escritorio: mira si hay una entrada «Slider Revolution» en el menú lateral, o si aparece en Plugins → Plugins instalados (a veces figura como
revslider). - En los ficheros: por FTP o gestor de archivos, comprueba si existe la carpeta
wp-content/plugins/revslider/. - Desde fuera: pide en el navegador
https://tudominio.com/wp-content/plugins/revslider/readme.txt. Si descarga algo, está instalado y además ese fichero está publicando la versión a cualquiera que pregunte.
Paso 2: qué versión corre
La versión aparece en la pantalla del plugin, en el readme.txt o en la cabecera del fichero principal. Anótala y compárala con la última publicada por el fabricante en su web oficial. No te fíes de «es reciente porque el tema es reciente»: hemos visto temas vendidos en 2024 que empaquetaban versiones de 2018.
Regla práctica: si tu versión no coincide con la actual del fabricante, estás fuera de soporte y no recibes parches. Cuánto de grave sea depende de qué se haya corregido en medio, pero la posición de partida ya es mala.
Paso 3: decidir qué haces con él
| Situación | Qué hacer |
|---|---|
| No usas ningún carrusel en la web | Desinstalar. Es la mejor opción con diferencia: un plugin que no está no se explota |
| Lo usas y el tema sigue con soporte | Actualiza el tema; eso arrastra la versión nueva del plugin. Verifica después que la versión cambió de verdad |
| Lo usas y el tema está abandonado | Compra una licencia propia del plugin (te desengancha del tema) o sustituye el carrusel por un bloque nativo |
| No sabes si lo usas | Desactívalo en horario de poca visita y recorre la web. Si nada cambia, no lo usabas |
Antes de desinstalar: copia de seguridad completa, y comprueba si el carrusel aparece en la portada o en alguna página de campaña. Desinstalar deja el atajo huérfano y, según el tema, un hueco visible.
Paso 4: comprobar que no llegaste tarde
Si la versión instalada era antigua y la web lleva años funcionando, merece la pena una revisión rápida. Señales de que alguien pasó por ahí:
- Usuarios administradores que no reconoces, o con correos de dominios raros.
- Ficheros PHP dentro de
wp-content/uploads—ahí no debería haber código nunca. - Entradas o páginas publicadas que tú no has escrito, a menudo en otro idioma.
- Resultados extraños al buscar tu dominio en Google, aunque la web se vea bien. Es el caso clásico de contenido que se muestra solo al buscador: cómo detectarlo lo cuenta nuestra guía de herramientas de comprobación.
Si encuentras algo, no empieces borrando: primero conserva las evidencias, porque son lo que permite averiguar por dónde entraron y evitar la reinfección.
La lección que vale para todos los plugins
Revolution Slider es el ejemplo, no la excepción. Aplica lo mismo a cualquier extensión empaquetada con un tema o instalada «porque la necesitábamos para una campaña de hace tres años»:
- Haz el inventario completo de lo que corre en tu instalación, incluido lo que no sale en el listado.
- Quita lo que no uses. Cada plugin que desinstalas es superficie de ataque que desaparece: ese criterio lo desarrollamos en cuántos plugins debería tener un WordPress.
- Lo que te quedes, que tenga licencia propia y actualizaciones. Si depende del tema, sabes dónde está el riesgo.
- Revisa trimestralmente. No hace falta más: la mayoría de los incidentes que vemos venían de algo que llevaba años sin tocarse.
Para consultar vulnerabilidades publicadas de cualquier plugin puedes usar el registro público del NVD o los avisos de INCIBE-CERT; el método completo está en cómo saber si un plugin vulnerable te afecta.
Seguir leyendo en esta sección
- WP File Manager: por qué es el plugin que más webs ha tumbado y qué hacer si lo tienes
- Contact Form 7: cómo saber si tu formulario es un agujero de seguridad
- Elementor y sus complementos: cómo saber si tienes una versión vulnerable
- Jetpack: qué activa de verdad en tu WordPress y qué puedes apagar
- LiteSpeed Cache: cómo saber si tu versión es vulnerable y qué revisar después
- Duplicator y All-in-One WP Migration: las copias que te dejas en el servidor
Ver todo en Avisos de plugins concretos → · Mapa completo del sitio