-
WordPress: instalar el parche de la falla ya explotada CVE-2026-119977 puede exponer el sitio una última vez (06/11)
La falla es del núcleo de WordPress, no de un plugin, y afecta de la versión 4.7 a la 7.1.3; la encontró Umut Bayram de Picus Security y dice que viene desde la 2.7. El mecanismo: un atacante no autenticado que adivine el nombre de una carpeta temporal bajo wp-content/upgrade y llegue al instalador antes de que WordPress la borre puede ejecutar código en el servidor. La vuelta de tuerca es la que hay que tener en cuenta antes de actualizar: la propia actualización que instala el arreglo descomprime archivos con el código viejo del actualizador que todavía está en el sitio, y en sitios con 5.9 o posterior ese código nombra la carpeta según el archivo descargado, así que el nombre es predecible durante esa única actualización. Quien pegue en esa ventana puede armar una copia temporal de WordPress, loguearse y correr PHP con los permisos del servidor web; las ramas 4.4 a 5.8 le agregan caracteres aleatorios al nombre, lo que lo esconde salvo que se filtre por otro lado. Los paquetes completos siempre traen el instalador y por lo tanto están expuestos, los parciales solo si lo incluyen, y en las pruebas del investigador las actualizaciones dentro de la misma rama recibían paquetes parciales mientras los saltos de rama recibían completos. La explotación ya está andando: CISA lo metió en su catálogo KEV esa semana, Wordfence vio intentos de ataque nueve minutos después de desplegar su regla de firewall el día del lanzamiento y detectó dos fuentes chequeando grupos chicos de sitios durante unas 14,5 horas, lo que lee como intentos de agarrar sitios a mitad de actualización; hay repos públicos de GitHub con código descrito como exploit, sin confirmar que funcione. Hay además una discrepancia de severidad: Wordfence le pone 8,1 y el aviso de WordPress la califica de baja. La mitigación antes de actualizar es bloquear el acceso web a wp-content/upgrade en la configuración del servidor y verificar que devuelva 403 —no poner un.htaccess adentro de esa carpeta, porque el actualizador viejo le borra el contenido—, o hacer la actualización a mano fuera del directorio servido; wp core update de WP-CLI usa el mismo actualizador vulnerable y no evita el riesgo. The Hacker News
-
CISA confirma explotación activa de una falla en el core de WordPress que se abre justo durante la actualización (04/11)
CVE-2026-119977, 8,1 de CVSS, es una condición de carrera time-of-check time-of-use que puede terminar en ejecución de código arbitrario. El vector es lo que la hace fea: según CISA el problema son "rutas de staging predecibles y accesibles por web usadas durante las actualizaciones de paquete completo del core", así que un atacante sin autenticar aprovecha la ventana breve en la que el sitio se está actualizando a sí mismo. El volumen ya se ve: Wordfence reportó más de 18.500 pedidos contra rutas de instalador setup-config.php en staging en las primeras 21 horas desde la divulgación, y después 12.632 ataques bloqueados en 24 horas; Previdian registró tres intentos el 30 de octubre desde una IP geolocalizada en Reino Unido. Los parches salieron a fines de octubre —el aviso es GHSA-4w3m-c66w-69mg— y las agencias civiles federales de Estados Unidos tienen hasta el 6 de noviembre. No hay mitigación alternativa descrita: hay que parchear. The Hacker News
-
CVE-2026-111862: Rank Math PRO distribuyó por su propio canal oficial una versión troyanizada con un backdoor que se regenera solo, CVSS 9.8 (19/10)
El plugin SEO pago —el que se baja de rankmath.com, no el gratuito de WordPress.org— sirvió copias maliciosas de la versión 3.0.123 a través de su sistema oficial de descarga y actualización. La ventana es el único criterio válido para saber si una copia está comprometida: todo lo bajado o actualizado entre las 20:02 UTC del 15/10 y las 07:12 UTC del 16/10; el número de versión por sí solo no alcanza. El backdoor se vuelve a crear cada vez que alguien visita el sitio y, según el aviso del fabricante y los de terceros, puede dejar backdoors PHP en carpetas de plugins, themes y mu-plugins, crear cuentas de administrador, modificar.htaccess, agregar un archivo falso del core de WordPress, y plantar tareas programadas y claves SSH. Rank Math quitó los archivos y publicó la 3.0.124 limpia, pero el parche no borra lo que ya quedó en el servidor: cualquier sitio que haya activado la 3.0.123 en esa ventana se trata como comprometido, se rotan todos los secretos alcanzables —contraseñas, credenciales de base de datos, API keys— y se bloquea rank1cdn[.]com. Lo que no se sabe es grande: cómo entraron los archivos maliciosos al sistema de distribución, cuántos clientes los recibieron, si las actualizaciones automáticas los empujaron, los hashes del paquete limpio y del contaminado, y quién está detrás. The Hacker News
-
CVE-2026-106931: inyección de comandos en el WAF SiteGuard, crítica, explotada en la calle y activa por defecto (18/10)
El agujero está en la función de estadísticas de SiteGuard Server Edition, el WAF del fabricante japonés del mismo nombre, y permite correr comandos con privilegios de root o SYSTEM; la función viene habilitada por defecto en las instancias host-based. El fabricante y JPCERT/CC lo califican crítico y confirman abuso: la frase del aviso es que "ya se confirmó el abuso", sin detalles de atacante, víctimas ni escala. El alcance potencial es grande —SiteGuard dice proteger más de 1,5 millones de sitios y las estadísticas de WordPress.org muestran unos 500.000—. Las versiones afectadas son 2.20 y posteriores anteriores a 8.00 Update 5 para Apache httpd, Nginx e IIS, y anteriores a 7.00 Update 6 en FreeBSD; las ediciones IIS 3.10 a 4.00 Update 4 no están afectadas. Para instalaciones que no pueden actualizar, incluidas las que ya están fuera de soporte, hay un parche que reemplaza los archivos del procesamiento de estadísticas. El detalle operativo que conviene no pasar por arriba: el fabricante avisa que remediar puede borrar los rastros del ataque, así que primero hay que bajar la "información de diagnóstico" desde la pantalla de administración web. El aviso a clientes con contrato de soporte directo salió el 29 de septiembre. BleepingComputer
-
WordPress: el plugin Bricksforge tiene un RCE sin autenticar con CVSS 10.0 y 63 IPs atacándolo desde el 7 de octubre (12/10)
CVE-2026-85097 afecta a Bricksforge hasta la 3.1.8.9 y permite subir y ejecutar PHP sin credenciales. La cadena es instructiva y conviene conocerla para buscar rastros: el atacante saca un nonce de un endpoint AJAX sin autenticar, sube un polyglot GIF/PHP que pasa el chequeo de MIME, y después manda un formulario donde la ruta del archivo apunta al GIF pero el campo de URL termina en extensión PHP, con lo cual el servidor lo escribe en una ubicación ejecutable. Patchstack detectó la explotación el 7 de octubre a las 21:47 UTC y contó 63 IPs distintas, con seis de ellas concentrando cerca del 46% de las peticiones, un clúster de 44 IPs mandando 56 peticiones idénticas en segundos y otro de tres probando 25 variantes de extensión y codificación. Ojo con la versión del parche, porque el propio reporte se contradice: cita la 3.1.8.10 como corregida pero recomienda ir a la 4.0.1. Y actualizar no limpia una infección previa: hay que auditar las peticiones al endpoint form_submit con "temporaryFileUploads" y los PHP inesperados en el directorio tmp del plugin. The Hacker News
-
CyberXero corrió 51 agentes sobre Claude Code contra infraestructura crítica ucraniana y se llevó más de 628.000 registros (12/10)
Sigue de los ataques a bancos surcoreanos que CrowdStrike vinculó a agentes de Claude, pero este caso está mucho mejor documentado porque el atacante dejó un directorio abierto: SOCRadar encontró en 46.21.250[.]135 los logs de sesión de IA, scripts con tokens en texto plano, kits de exploits y los datos exfiltrados. CyberXero es un broker de accesos ruso-parlante activo desde julio de 2026 que operaba dos líneas en paralelo: una automatizada y global contra WordPress y e-commerce, usando wp2shell (CVE-2026-63030 y CVE-2026-60137) y una inyección SQL en el plugin Support Board (CVE-2026-4815), y otra manual y dirigida contra energía y servicios críticos de Ucrania, incluida una proveedora de calefacción de Járkov. El número que muestra la escala es una corrida en la que escaneó 4.708 objetivos, entró a 429 paneles de administración de WordPress y plantó 32 web shells en 61 segundos; la confirmada son cuatro organizaciones ucranianas y más de 628.000 registros de personas, más compromisos en Polonia, China y Países Bajos vía Redis expuesto. Lo más útil del informe es la mitad que no funcionó: el atacante usaba context engineering y reseteo de sesión con el framing de "pentest autorizado sobre mi propia infraestructura" precargado, y aun así los logs muestran rechazos que se sostuvieron en instalar un backdoor, desactivar un firewall, moverse lateralmente, desplegar una web shell, cuatro intentos de escaneo y un token de propiedad falsificado. No hay declaración de Anthropic en el reporte. The Hacker News
-
Un backdoor de WordPress se reconstruye solo desde ocho lugares distintos, incluida la memoria compartida de System V (01/10)
Lo llaman SC, por los marcadores "SC_" que deja en el contenido inyectado, y la gracia no es la sofisticación de cada pieza sino la redundancia: un.user.ini con auto_prepend_file, un cargador en wp-content/c1b12371.php y su copia oculta, un payload comprimido y codificado en Base64 dentro de db.php, un advanced-cache.php que se reconstruye desde cinco fuentes, un duplicado residente en el functions.php del tema khorshidi, y dos copias más como must-use plugin y plugin normal bajo el nombre hyper-engine-kit. El resumen de los investigadores es el que define el problema: borrás el plugin y el drop-in lo reescribe; borrás el drop-in y el tema lo reescribe. Y como además persiste en segmentos de memoria compartida de System V, limpiar el filesystem y la base de datos no alcanza: hay que purgar la memoria compartida en la misma pasada o vuelve. The Hacker News
-
Click2Shell: un link que hace clic el administrador basta para ejecutar PHP en el servidor de cualquier WordPress sin parchear (21/09)
Paulos Yibelo, de la plataforma de pentesting autónomo pwn.ai, publicó los detalles técnicos y el exploit completo de una falsificación de petición entre sitios en el núcleo de WordPress. La cadena es pre-autenticada y no necesita cuenta, nonce de instalación ni privilegios propios: un valor de la URL de vista previa de un tema lo interpreta una vez la API de temas de WordPress.org y una segunda vez, con un bug, el JavaScript del navegador del administrador. Con eso el atacante instala cualquier tema del catálogo oficial sin que nadie lo instale, y la vista previa del Personalizador ejecuta el PHP de ese tema aunque esté inactivo. La consecuencia es acceso a wp-config.php, o sea credenciales de base de datos y secretos de autenticación, y de ahí a cuentas administrativas falsas. La única condición es que un administrador logueado abra el enlace, cosa que se consigue con phishing dirigido o aprovechando un XSS existente. Se arregló en WordPress 7.1.1 la semana pasada; quien no pueda actualizar ya, DISALLOW_FILE_MODS bloquea la instalación forzada. BleepingComputer · Patchstack
-
Más de 440.000 intentos de explotación contra dos fallas críticas en plugins de WordPress (04/09)
Wordfence reporta ataques activos contra CVE-2026-14894 (CVSS 9,8) en Super Forms – Drag & Drop Form Builder y CVE-2026-32475 (9,0/9,8) en Elementor Pro. Las dos son la misma clase de bug: falta de validación de tipo de archivo, que deja a un atacante sin autenticar subir cualquier cosa, incluidos PHP ejecutables. Con eso se escribe una webshell, se crean cuentas de administrador y se toma el sitio entero. Las versiones corregidas son la 6.3.314 y la 4.2.2 respectivamente. The Hacker News
-
Cinco fallos críticos en plugins y temas de WordPress permiten tomar el sitio entero o ejecutar código (29/08)
Sigue de lo de ayer, cuando GiveWP apareció solo: Wordfence y Patchstack publicaron el paquete completo, y son cuatro más. CVE-2026-76581 (9.8) es un bypass de autenticación en el plugin WPMU DEV Dashboard que le da acceso de administrador a un atacante no autenticado en sitios conectados a WPMU DEV con Hub SSO habilitado y mapeado a un admin, hasta la 5.0.1 inclusive. CVE-2026-18431 (9.8) es una escritura arbitraria de archivos en el tema Avada —más de un millón de ventas— que permite crear y ejecutar PHP arbitrario, y afecta hasta la 7.16 cuando Fusion Builder está activo hasta la 3.16. CVE-2026-19632 (9.8) expone la URL cruda de reseteo de contraseña del administrador en TranslatePress, con la clave en texto plano, cuando el guardado automático de strings está activo y el locale del admin apunta a un idioma secundario publicado. CVE-2026-19598 (9.8) permite escalar a administrador o sobrescribir la contraseña de cualquier usuario en Pods, hasta la 3.3.9. El diagnóstico de Patchstack sobre el caso GiveWP aplica a todo el lote: "confiar en un sanitizador de serialización que en realidad no elimina objetos, deserializar datos leídos de la base como si fueran confiables, y llevar a producción librerías que son solo de desarrollo". The Hacker News · Wordfence · Patchstack
-
Un fallo de severidad máxima en GiveWP deja ejecutar comandos en el servidor de cualquier WordPress con el plugin de donaciones (28/08)
Es CVE-2026-82222, afecta hasta la versión 4.16.7.1 y el plugin tiene más de 100.000 instalaciones. La cadena que arma Patchstack tiene tres eslabones: un helper inseguro para deserializar datos PHP, un flujo de procesamiento de donaciones que guarda objetos serializados controlados por el atacante, y una gadget chain en librerías empaquetadas con el plugin que puede invocar comandos del sistema. La parte que anula la única defensa aparente es que el exploit necesita cuenta, pero GiveWP expone una acción de registro no autenticada (give_action=user_register) que nunca consulta la opción users_can_register de WordPress: se crea cuenta aunque el registro esté deshabilitado. Después se guarda el objeto malicioso en el perfil, se inyecta en wp_give_sessions mandando una donación armada —"el servidor escribe el objeto gadget antes de devolver un HTTP 500", explica George Johnstone, de Patchstack— y basta pedir cualquier página del front-end con la cookie para que se ejecute. Está arreglado en la 4.16.7.2, del 27 de agosto, que además borra payloads ya almacenados. La acción de registro sigue ignorando la configuración de WordPress, aunque ya no sirve para ejecutar código. BleepingComputer
-
Una cadena de seis fallos en el tema Avada de WordPress da RCE sin autenticación, y la encontró un agente en dos horas (26/08)
CVE-2026-18431, severidad 9,8, encadena problemas de autorización, validación de entrada, límites de confianza y manejo de archivos que hay que ejecutar en un orden específico para terminar escribiendo PHP arbitrario en el servidor. Afecta a Avada hasta 7.16 y al plugin Fusion Builder hasta 3.16, y requiere que ambos estén activos, lo que achica bastante el universo de blancos pese al millón de licencias vendidas del tema. Lo interesante para quien piensa en seguridad ofensiva automatizada es cómo apareció: el equipo Wordfence de Defiant lo descubrió con un framework agéntico interno llamado Argus, que además escribió el exploit de prueba de concepto, todo en unas dos horas. Reprodujo el fallo el 30 de julio; ThemeFusion publicó los arreglos en Avada 7.16.1 y Fusion Builder 3.16.1. BleepingComputer · Wordfence
-
Están explotando dos bypass de autenticación en el plugin miniOrange SAML SSO de WordPress (24/08)
Las dos vulnerabilidades son críticas y permiten forjar respuestas SAML para entrar como administrador. El patrón es el de siempre en el ecosistema WordPress —el plugin de identidad es el que más duele— y la ventana entre publicación y explotación se sigue achicando. Si tenés miniOrange SAML 2.0 SSO instalado, actualizarlo pasa a ser tarea de hoy, no del sprint. BleepingComputer
-
Supply chain en WordPress: comprometen al vendor de plugins BdThemes
Investigadores alertaron sobre un compromiso de cadena de suministro que afecta los plugins de BdThemes; el equipo de plugins de WordPress deshabilitó temporalmente las descargas. Si usás plugins de ese vendor, revisá versiones instaladas y esperá los builds limpios. Fuente: The Hacker News.
-
"wp2shell" abre millones de sitios WordPress (20/07)
WordPress publicó actualizaciones de emergencia por CVE-2026-63030 y CVE-2026-60137 —bautizadas colectivamente "wp2shell"—, vulnerabilidades críticas del core que permiten ejecución remota de código no autenticada y toma total del sitio. Afectan versiones 6.9.0–6.9.4 y 7.0.0–7.0.1. Check Point Research
-
wp2shell: RCE pre-auth en WordPress core con PoC público en GitHub
La cadena CVE-2026-63030 (confusión de rutas batch en la REST API) + CVE-2026-60137 (SQL injection en core) lleva una request anónima hasta ejecución de código. El camino de RCE solo funciona si el sitio no corre un persistent object cache — es decir, una instalación por defecto está expuesta. WordPress publicó 6.9.5 y 7.0.2 con actualizaciones forzadas, y Cloudflare sacó reglas de WAF junto con la divulgación. Hay un PoC funcional público en GitHub verificado end-to-end, así que la explotación masiva es cuestión de días para quien no actualice. The Hacker News · Eye Security Labs — guía para defensores
The Hacker News Eye Security Labs — guía para defensores GitHub