Se ha detectado una vulnerabilidad crítica en el plugin de WordPress Kirki (versiones 6.0.0 a 6.0.6), identificada como CVE-2026-8206 con una puntuación de riesgo de 9.8. Este fallo expone a más de 500,000 sitios web a posibles ataques de toma de control de cuentas, estimándose que aproximadamente 150,000 sitios son activamente vulnerables.

Un fallo de seguridad crítico en el ampliamente utilizado plugin de WordPress Kirki ha expuesto más de 500.000 sitios web a posibles ataques de toma de control de cuentas, y los investigadores advierten que aproximadamente 150.000 sitios son activamente vulnerables debido a las versiones afectadas.

Identificada como CVE-2026-8206 con una puntuación CVSS de 9.8, la vulnerabilidad afecta a las versiones del plugin Kirki de la 6.0.0 a la 6.0.6.

El problema permite que atacantes no autenticados escalen privilegios abusando de un mecanismo de restablecimiento de contraseña defectuoso, lo que finalmente permite el compromiso total de las cuentas de administrador.

La vulnerabilidad fue descubierta por el investigador de seguridad Choigyeongmin y reportada a través del Programa Bug Bounty de Wordfence, obteniendo una recompensa de 6.436 dólares.

Wordfence validó el problema el 8 de mayo de 2026 y desplegó rápidamente protecciones de firewall para los usuarios premium el 9 de mayo, antes de la divulgación pública.

Vulnerabilidad de Plugin de WordPress Expone Sitios Web

Kirki, un plugin popular utilizado para mejoras del personalizador de WordPress y construcción de páginas, expone un endpoint de la API REST responsable de manejar las solicitudes de restablecimiento de contraseña.

La vulnerabilidad reside en la función handle_forgot_password(), donde no se confía adecuadamente en la entrada del usuario durante el proceso de restablecimiento.

En una implementación segura, una solicitud de restablecimiento de contraseña debería enviar un enlace de restablecimiento únicamente a la dirección de correo electrónico asociada con la cuenta de usuario objetivo.

Sin embargo, en las versiones vulnerables, el plugin acepta tanto el parámetro de nombre de usuario como el de correo electrónico sin verificar su relación.

Cuando se proporciona un nombre de usuario válido, el plugin identifica correctamente la cuenta de usuario. No obstante, continúa utilizando la dirección de correo electrónico controlada por el atacante proporcionada en la solicitud.

Este fallo de lógica permite un escenario de explotación sencillo. Un atacante envía una solicitud de restablecimiento de contraseña con un nombre de usuario legítimo, como el de un administrador, junto con una dirección de correo electrónico arbitraria que él controla.

El plugin genera entonces un token de restablecimiento válido y lo envía al correo del atacante en lugar del usuario legítimo.

Utilizando el enlace de restablecimiento, el atacante puede establecer una nueva contraseña y obtener acceso no autorizado a la cuenta. Una explotación exitosa puede llevar al compromiso completo del sitio.

Los atacantes podrían instalar plugins maliciosos, inyectar puertas traseras (backdoors), crear cuentas de administrador falsas o desplegar webshells persistentes, alineándose con técnicas comunes de post-explotación mapeadas a tácticas de escalada de privilegios y persistencia.

Wordfence reportó el fallo a Themeum el 15 de mayo de 2026, y un parche fue lanzado en la versión 6.0.7 solo tres días después.

La mitigación es sencilla pero urgente. Se recomienda encarecidamente a los administradores de sitios web que actualicen el plugin Kirki a la versión 6.0.7 o posterior inmediatamente.

Hay protecciones adicionales disponibles a través de las reglas del firewall de Wordfence; los usuarios premium ya están protegidos y los usuarios gratuitos tienen programado recibir la cobertura el 8 de junio de 2026.

Dada la facilidad de explotación y el alto impacto, esta vulnerabilidad representa un riesgo significativo para los entornos de WordPress, especialmente aquellos con enumeración de usuarios expuesta o funcionalidad de inicio de sesión accesible públicamente. El parcheo rápido y el monitoreo de actividad sospechosa de restablecimiento de contraseñas son esenciales para prevenir el compromiso.