Atacantes están explotando dos vulnerabilidades críticas en WordPress, conocidas como wp2shell, que permiten la ejecución remota de código sin autenticación. Este fallo afecta a versiones lanzadas desde diciembre de 2025 y permite comprometer sitios web mediante la inyección de SQL y la carga de plugins maliciosos. Se recomienda a los administradores actualizar sus sistemas y revisar la existencia de cuentas o archivos sospechosos.

Los atacantes han comenzado a explotar dos vulnerabilidades críticas en WordPress que, al combinarse, permiten la ejecución remota de código (RCE) no autenticada y el compromiso total de los sitios web vulnerables.

Las dos fallas de seguridad, rastreadas como CVE-2026-63030 y CVE-2026-60137, han sido bautizadas como wp2shell [enlace].

"Para las primeras horas del sábado por la mañana (UTC), la explotación exitosa ya estaba en marcha, utilizando inicialmente código de exploit público para exfiltrar credenciales hash, seguida de la ejecución remota de código una vez que se hicieron públicos detalles adicionales", dijo Jake Knott, investigador principal de seguridad en watchTowr.

"Desde nuestra perspectiva con una base de clientes global, estamos viendo un impacto generalizado de esta vulnerabilidad en organizaciones de todos los tamaños y sectores".

Los datos de telemetría capturados por KEVIntel muestran [enlace] que 13 direcciones IP únicas de Suiza, Alemania, el Reino Unido, Indonesia, Lituania, los Países Bajos y Singapur han sido vinculadas a la explotación de CVE-2026-63030.

La cadena de exploits, descubierta [enlace] por Searchlight Cyber utilizando OpenAI GPT 5.6 Sol en poco más de 10 horas, permite esencialmente que atacantes no autenticados logren la ejecución remota de código en instalaciones predeterminadas de WordPress en cualquier versión lanzada desde diciembre de 2025. Los detalles técnicos se han mantenido en reserva debido a la gravedad del problema.

"El ataque no tiene precondiciones y puede ser explotado por un usuario anónimo en una instalación estándar de WordPress sin plugins", afirmó Searchlight Cyber.

Según Cloudflare, la CVE-2026-63030 permite la ejecución remota de código (RCE) no autenticada [enlace] solo cuando no se utiliza el caché de objetos persistente. Mientras que la vulnerabilidad de inyección SQL (CVE-2026-60137) está presente desde la versión 6.8 en adelante, la RCE afecta a las versiones desde la 6.9.

"Este exploit utiliza una cadena de vulnerabilidad de dos partes para lograr una inyección SQL no autenticada en una instalación de WordPress estándar con una sola solicitud HTTP", explicó Ben Marr, ingeniero de seguridad en Intruder. "CVE-2026-60137 es el punto de entrada: un error de confusión de rutas en el endpoint de lotes de la REST API que evade la autenticación, permitiendo a un atacante invocar manejadores internos sin ninguna verificación de permisos".

"Esta falla surge de la desinfección inadecuada del parámetro 'author__not_in' dentro de 'WP_Query' cuando un plugin o tema le pasa datos no confiables. Esta vulnerabilidad permite que una entrada manipulada altere una consulta a la base de datos, lo que podría conducir a un acceso no autorizado o manipulación de datos".

Datos de Wiz, propiedad de Google, sugieren que el 60% de las organizaciones que usan WordPress tenían inicialmente al menos una instancia vulnerable al momento de publicarse estos CVE, y el 25% exponía un servidor vulnerable a Internet. Las cifras han disminuido a medida que las organizaciones aplican las correcciones.

La subsidiaria de seguridad en la nube ha observado las siguientes actividades post-explotación tras el abuso de las dos fallas:

• * Carga de un plugin malicioso
• * Enumeración de usuarios y recolección de nombres de usuario y correos electrónicos de administradores
• * Realización de ataques de inclusión de archivos locales (LFI) para obtener credenciales de bases de datos y claves de autenticación
• * Acceso al panel de administración y autenticación exitosa
• * Carga de una web shell PHP básica que facilita la ejecución remota de código

"También hemos observado una actividad de escaneo de alto volumen sin post-explotación posterior, lo que sugiere campañas de escaneo masivo oportunistas que buscan identificar objetivos vulnerables", dijeron los investigadores de Wiz, Shahar Dorfman y Gili Tikochinski [enlace]. "Aún no hemos identificado movimiento lateral o exfiltración de datos, pero seguimos monitoreando e investigando".

También se observó como parte de la actividad una web shell de 150 KB disfrazada de un plugin de seguridad legítimo de WordPress llamado CMSmap. Actúa como una "plataforma de ataque completa" que soporta gestión de archivos, acceso a bases de datos, escaneo de puertos, inyección de código por lotes y múltiples módulos de escalada de privilegios.

WatchTowr también señaló que los atacantes han comenzado a lanzar ataques indiscriminadamente por Internet tras la publicación de un exploit público, con sus honeypots registrando "decenas de miles de intentos de explotación".

Se dice que se han creado más de 100 cuentas de administrador de puerta trasera (backdoor) tras la explotación, permitiendo a los atacantes desplegar plugins falsos de WordPress para obtener ejecución de código o descargar herramientas secundarias. En al menos un caso, se ha observado a un actor de amenazas intentando instalar repetidamente Overlord RAT, un troyano de acceso remoto basado en Golang.

Se recomienda a los defensores que inspeccionen sus instancias de WordPress en busca de nuevas cuentas de administrador, plugins maliciosos u otros archivos sospechosos, independientemente de si ya han aplicado los parches, para erradicar completamente la amenaza.

Fuente:
THN