Sin demeritar el post anterior, hay otro vector de ataque que, aunque se mencionó, no se trató ampliamente.
También cabe la posibilidad de un troyano, pero no en la PC del usuario, si no un troyano en los archivos de WP. Esto quiere decir, que de manera voluntaria un usuario subió al sitio un archivo infectado(un theme es lo mas común). Después de 'cruzar las puertas de Troya', un atacante enterado puede entonces utilizar el archivo para tratar de compromete el sistema en el que se encuentra el 'caballo', o sea 'quemar Troya'. (Lo que pongo entre comillas es para obviar el significado del termino 'troyano', dentro del contexto del mito del caballo de Troya).
De hecho, mas que una vulnerabilidad o un 0day como se ha sugerido, el vector de ataque con un troyano hacía la instalación de WP por medio de un theme, es bastante común.
Sobre la pregunta que acaba de plantear Ray Ban, pues yo contestaría que si realmente el sitio es de importancia, se contrate o por lo menos se trate de realizar una auditoria de seguridad, sobre todo si se trata de un server VPS, especialmente aquellos que se anuncian como on the Cloud. Un server dedicado pues peor.... pero pues quien contrata un dedicado debería de tener una buena asesoría, incluida aquella acerca de seguridad, antes de hacer el gasto.
Obvio la auditoria de seguridad conlleva después un hardening, usando la información obtenida. Por ejemplo, un error básico que yo he visto en muchas instalaciones de WP es el uso de FTP, que es un protocolo bastante inseguro, sobre todo si corre en puertos estándares.
En conclusión, si realmente interesa la seguridad del sitio, se debe entonces conseguir a alguien (o algo) que ayude a asegurar el sitio.
