Falla crítica de WordPress que permite tomar sitios se explota desde julio

La empresa de seguridad Seqrite publicó el 16 de octubre un análisis de wp2shell, la cadena de dos fallas del núcleo de WordPress que permite a un atacante sin cuenta ejecutar código en el servidor. Las fallas, CVE-2026-63030 y CVE-2026-60137, están en el catálogo de vulnerabilidades explotadas (KEV) de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) desde el 21 de julio. WordPress las corrigió el 17 de julio, pero los sitios que no se actualizaron siguen expuestos.

Qué es la falla

En simple: un atacante manda a un sitio WordPress un pedido armado de cierta forma, sin usuario ni contraseña, y termina con control del sitio. No necesita que haya complementos instalados.

La capa técnica tiene dos piezas. La CVE-2026-63030 es una confusión de rutas en el punto de acceso de lotes de la interfaz de programación del sitio (/wp-json/batch/v1): un pedido anidado llega a funciones que normalmente exigen autenticación. Por sí sola no ejecuta código, pero abre el camino a la CVE-2026-60137, una inyección de SQL en el parámetro author__not_in de WP_Query, que se alcanza con el parámetro público author_exclude. Según Seqrite, después el atacante crea una cuenta de administrador e instala un complemento malicioso con una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. (web shellPrograma malicioso instalado en un servidor web que permite a un atacante enviarle órdenes a distancia mediante solicitudes web y usarlo para colocar otros archivos.) para correr comandos en el servidor.

A quién afecta

La cadena completa afecta a WordPress 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1. La rama 6.8 (de 6.8.0 a 6.8.5) tiene solo la inyección de SQL. Las versiones anteriores a 6.8 no están afectadas, según WordPress. Las versiones corregidas son 6.8.6, 6.9.5 y 7.0.2, y la 7.1 llegó con el arreglo.

Estado de explotación

Explotada, según el catálogo KEV de CISA, que fijó el 24 de julio como plazo para las agencias federales de Estados Unidos. CISA marca la explotación como activa y automatizable.

La empresa GreyNoise documentó en septiembre una campaña que empezó a usar la cadena alrededor del 20 de julio y comprometió al menos 49 organizaciones en 29 países, sobre todo pequeñas empresas y organismos de gobierno. Entre ellas había tres de Colombia, dos de Brasil y una de Chile. En un organismo de gobierno occidental, el atacante pasó del sitio web a una base de datos interna y se llevó al menos 18.500 registros, con contraseñas en texto plano y datos personales vinculados a fuerzas de seguridad. GreyNoise atribuye la actividad a un solo actor y sospecha que habla chino.

El análisis de Seqrite se basa sobre todo en pruebas de laboratorio y no aporta cifras de víctimas nuevas.

Antecedentes

No es la única falla del núcleo de WordPress explotada este año. CISA sumó al catálogo el 25 de septiembre la CVE-2026-87902, corregida en la versión 7.1.2, que permite ejecutar código bajo ciertas condiciones.

Qué hacer

• Verificar la versión del sitio en el escritorio de WordPress y actualizar a 6.8.6, 6.9.5, 7.0.2 o una posterior. WordPress activó actualizaciones forzadas para las versiones afectadas, pero solo llegan a los sitios que admiten actualizaciones en segundo plano.
• Mientras tanto, restringir el acceso sin autenticación a la interfaz de programación, en especial a /wp-json/batch/v1.
• Buscar señales de compromiso: administradores que nadie creó, carpetas wp-content/plugins/wp2shell_*, archivos temp-write-test-* en wp-content/ y archivos PHP nuevos en wp-content/plugins/ o wp-content/cache/, según Seqrite.
• Si hubo intrusión, cambiar las contraseñas de los administradores y las credenciales de la base de datos, sobre todo las que se reusan en otros sistemas.

Ficha técnica

• CVE: CVE-2026-63030 y CVE-2026-60137
• CVSS: 9,8 para CVE-2026-63030 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) y 5,9 para CVE-2026-60137 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N), según WPScan en NVD
• CWE: CWE-436, conflicto de interpretación, y CWE-89, inyección de SQL
• Producto: WordPress (núcleo)
• Versiones corregidas: 6.8.6, 6.9.5 y 7.0.2
• Aviso del fabricante: WordPress 7.0.2, 17 de julio de 2026 (GHSA-ff9f-jf42-662q y GHSA-fpp7-x2x2-2mjf)
• Alta en KEV: 21 de julio de 2026, plazo del 24 de julio (CVE-2026-63030) y del 4 de agosto (CVE-2026-60137)