Están explotando una vulnerabilidad crítica (CVE-2026-8181) en el plugin de WordPress Burst Statistics, que permite obtener acceso de administrador sin contraseña. Este fallo afecta a las versiones 3.4.0 y 3.4.1, permitiendo la creación de cuentas fraudulentas y el robo de datos. Se recomienda actualizar urgentemente a la **versión 3.4.2** o desactivar el plugin para evitar ataques.



Aprovechando una vulnerabilidad crítica de omisión de autenticación en el plugin de WordPress Burst Statistics para obtener acceso de nivel de administrador a los sitios web.

Burst Statistics es un plugin de análisis centrado en la privacidad, activo en 200.000 sitios de WordPress y comercializado como una alternativa ligera a Google Analytics.

El fallo, registrado como CVE-2026-8181, se introdujo el 23 de abril con el lanzamiento de la versión 3.4.0 del plugin. El código vulnerable también estuvo presente en la siguiente iteración, la versión 3.4.1.

Según Wordfence, que descubrió el CVE-2026-8181 el 8 de mayo, el fallo permite a atacantes no autenticados suplantar a usuarios administradores conocidos durante las solicitudes de la API REST, e incluso crear cuentas de administrador fraudulentas.

“Esta vulnerabilidad permite que atacantes no autenticados que conozcan un nombre de usuario de administrador válido suplanten totalmente a ese administrador durante cualquier solicitud de la API REST, incluidos los endpoints del núcleo de WordPress como /wp-json/wp/v2/users, proporcionando cualquier contraseña arbitraria e incorrecta en un encabezado de Autenticación Básica”, explica Wordfence [enlace].

“En el peor de los casos, un atacante podría explotar este fallo para crear una nueva cuenta de nivel de administrador sin ninguna autenticación previa”.

La causa raíz es la interpretación incorrecta de los resultados de la función ‘wp_authenticate_application_password()’, específicamente, tratar un ‘WP_Error’ como una indicación de autenticación exitosa.

Sin embargo, los investigadores explican que WordPress también puede devolver ‘null’ en algunos casos, lo que se trata erróneamente como una solicitud autenticada.

Como resultado, el código llama a ‘wp_set_current_user()’ con el nombre de usuario proporcionado por el atacante, suplantando efectivamente a ese usuario durante la solicitud de la API REST.

Los nombres de usuario de administrador pueden quedar expuestos en entradas del blog, comentarios o incluso en solicitudes públicas de la API, pero los atacantes también pueden utilizar técnicas de fuerza bruta para adivinarlos.

El acceso de nivel de administrador permite a los atacantes acceder a bases de datos privadas, plantar puertas traseras, redirigir visitantes a lugares inseguros, distribuir malware, crear usuarios administradores fraudulentos y más.

Aunque Wordfence advirtió en su publicación que “esperan que los atacantes se dirijan a esta vulnerabilidad y, por lo tanto, es fundamental actualizar a la última versión lo antes posible”, su rastreador muestra que la actividad maliciosa ya ha comenzado [enlace].

Según la misma plataforma, la firma de seguridad de sitios web ha bloqueado más de 7.400 ataques dirigidos al CVE-2026-8181 en las últimas 24 horas, por lo que la actividad es significativa.

Se recomienda a los usuarios del plugin Burst Statistics actualizar a la versión parcheada, 3.4.2, lanzada el 12 de mayo de 2026, o desactivar el plugin en su sitio.

Las estadísticas de WordPress.org muestran que Burst Statistics tuvo 85.000 descargas [enlace] desde el lanzamiento de la 3.4.2, por lo que, suponiendo que todas fueron para la última versión, quedan aproximadamente 115.000 sitios expuestos a ataques de toma de control de administrador.

Fuente:
BleepingComputer