Usuarios de WordPress deben actualizar sus sitios inmediatamente debido a dos vulnerabilidades que, combinadas, permiten la ejecución remota de código sin autenticación. Los atacantes han empezado a explotar estos fallos rápidamente, posiblemente con ayuda de IA, afectando a diversas versiones del sistema. Se recomienda revisar las instancias en busca de cuentas de administrador nuevas o plugins maliciosos, incluso después de parchear.

Si utiliza WordPress, parchea ahora. Apenas unas horas después de que se publicaran las correcciones, los atacantes han comenzado a explotar dos errores que, al encadenarse, permiten la ejecución remota de código (RCE) previa a la autenticación. Y los investigadores de seguridad nos dicen que hay muchas posibilidades de que los malhechores hayan contado con la ayuda de una IA.

“Una vez que las vulnerabilidades se divulgaron públicamente, reproducirlas con la ayuda de modelos de IA de vanguardia fue solo cuestión de tiempo y tokens”, dijo Jake Knott, investigador principal de seguridad de watchTowr. “watchTowr pudo reproducir trivialmente el CVE-2026-63030 a los pocos minutos de la divulgación, y el segundo, CVE-2026-60137, con un esfuerzo adicional”.

WordPress lanzó parches para ambos CVE el viernes por la tarde, pero para el sábado ya era demasiado tarde.

“A las primeras horas del sábado por la mañana, la explotación exitosa ya estaba muy avanzada, utilizando inicialmente código de explotación público para exfiltrar credenciales hash, seguida de la ejecución remota de código una vez que se hicieron públicos detalles adicionales”, dijo Knott. “Desde nuestra perspectiva en una base de clientes global, estamos viendo un impacto generalizado de esta vulnerabilidad en organizaciones de todos los tamaños y de todos los sectores”.

Aquí están los detalles sobre ambos agujeros de seguridad y lo que sucedió desde que WordPress los reveló y corrigió el viernes.

El CVE-2026-60137 es un problema de inyección SQL de severidad moderada, y el CVE-2026-63030 es un error crítico de confusión de rutas de lote de la API REST.

“Un fallo de confusión de rutas hace que las matrices que contienen las sub-solicitudes, los resultados de validación y los manejadores coincidentes se desalineen”, explicaron los investigadores de Hacktron [aquí]. Esto provoca que WordPress se confunda sobre qué solicitudes han sido validadas correctamente y, por lo tanto, trate todas las solicitudes como confiables, incluidas aquellas que debería bloquear.

Individualmente, los errores son difíciles de explotar. Pero cuando se encadenan, pueden causar estragos en cualquier organización que utilice una versión vulnerable de WordPress porque permiten RCE no autenticado.

WordPress 6.9 se ve afectado por ambas vulnerabilidades, y la versión 6.9.5 contiene correcciones para ambas, mientras que WordPress 6.8 solo se ve afectado por el fallo de inyección SQL, y la versión 6.8.6 lo soluciona.

Además, WordPress 7.1 Beta 1 también es vulnerable. La versión 7.1 Beta 2 corrige ambos CVE.

Las versiones de WordPress anteriores a la 6.8 no se ven afectadas.

John Blackbourn, uno de los desarrolladores principales de WordPress, recomendó a los usuarios afectados “actualizar sus sitios inmediatamente”. Debido a la gravedad de los fallos, el equipo de seguridad de WordPress “activó las actualizaciones forzadas a través del sistema de auto-actualización para los sitios que ejecutan las versiones afectadas”, añadió.

El sistema de gestión de contenidos acreditó al investigador de Searchlight Cyber, Adam Kues, por encontrar y reportar el CVE-2026-63030, y en un aviso posterior el viernes, Kues apodó al error wp2shell [aquí].

“El ataque no tiene precondiciones y puede ser explotado por un usuario anónimo en una instalación estándar de WordPress sin plugins”, dijo Kues, añadiendo que su empresa de seguridad lanzó un verificador gratuito de wp2shell [aquí] para determinar si su instancia es vulnerable.

La firma de seguridad PatchStack informó sobre la explotación [aquí] de ambos CVE desde el viernes por la noche, pero no proporcionó detalles sobre los ataques.

El equipo de investigación de VulnCheck, que también comenzó a investigar los parches el viernes, verificó más de dos docenas de exploits de prueba de concepto únicos [aquí] dirigidos a WP2Shell hasta el domingo.

“Después de que se publicara el código de explotación, los atacantes comenzaron a escanear internet indiscriminadamente, golpeando cualquier cosa alcanzable e intentando tener suerte”, nos dijo Knott. “Nuestros honeypots registraron decenas de miles de intentos de explotación y más de 100 cuentas de puerta trasera creadas por diferentes actores de amenazas utilizando variaciones de herramientas públicas”.

Tras crear estas cuentas de administrador ocultas, watchTowr observó que los atacantes desplegaban plugins falsos de WordPress para lograr RCE, exfiltrar credenciales o secretos, o descargar herramientas adicionales para comprometer más el sistema, añadió. “En un caso, vimos a un actor de amenazas intentar repetidamente descargar Overlord RAT, un troyano de acceso remoto basado en Golang”.

Cualquier organización que haya esperado hasta el lunes para parchear probablemente ya haya sido comprometida, advirtió Knott. “Los defensores deben inspeccionar sus instancias de WordPress en busca de nuevas cuentas de administrador, plugins maliciosos u otros archivos sospechosos, independientemente de si han aplicado el parche”, afirmó.

Fuente:
TheRegister