Se ha descubierto una vulnerabilidad crítica de ejecución remota de código (RCE) denominada “wp2shell” en el núcleo de WordPress. Este fallo, detectado por el investigador Adam Kues, afecta a una ruta de la API REST y pone en riesgo a más de 500 millones de sitios web, permitiendo que atacantes no autenticados tomen el control total de los sitios.

Se ha descubierto una vulnerabilidad crítica de ejecución remota de código (RCE) previa a la autenticación, apodada "wp2shell", en el núcleo de WordPress, poniendo en riesgo a unos 500 millones de sitios web de ser tomados completamente por atacantes no autenticados.

El investigador de seguridad Adam Kues, del equipo de investigación Assetnote de Searchlight Cyber, descubrió el fallo, que se deriva de un problema de confusión de rutas por lotes (batch-route) de la API REST que conduce a una inyección SQL y, en última instancia, a la ejecución remota de código.

Lo que hace que este error sea especialmente peligroso es que no requiere condiciones previas y puede ser explotado por un usuario completamente anónimo y no autenticado contra una instalación de WordPress estándar sin ningún plugin instalado.

Vulnerabilidad RCE wp2shell

En términos prácticos, un atacante no necesita un inicio de sesión, un plugin vulnerable ni ninguna configuración especial del sitio para comprometer un objetivo; basta con que haya una instancia de WordPress accesible que ejecute una versión afectada.

Dada la gravedad del error, Searchlight Cyber ha reservado los detalles técnicos del exploit para dar tiempo a los propietarios de los sitios a parchear, mientras que ha lanzado un escáner público gratuito en wp2shell[.]com para que los administradores puedan comprobar si su sitio es vulnerable.

Qué versiones de WordPress están afectadas

La vulnerabilidad afecta a un rango específico de versiones del núcleo de WordPress, rastreadas bajo dos identificadores CVE: CVE-2026-60137 (que también cubre un problema independiente de inyección SQL) y CVE-2026-63030, el fallo de RCE de ruta por lotes reportado por Kues.

Rango de versiones de WordPress	Estado
6.8.5 y anteriores	No afectado
6.9.0 – 6.9.4	Afectado
7.0.0 – 7.0.1	Afectado
7.1 beta (pre-lanzamiento)	Afectado

Cabe destacar que la rama de WordPress 6.8 solo se ve afectada por el componente de inyección SQL (CVE-2026-60137), no por la cadena de RCE, y se ha implementado una corrección en la versión 6.8.6.

WordPress.org ha lanzado la versión 7.0.2, junto con correcciones retroactivas en las versiones 6.9.5 y 6.8.6, abordando tanto el problema crítico de RCE como un fallo de inyección SQL de gravedad alta. Debido a la severidad, el equipo de WordPress.org ha tomado la medida inusual de forzar esta actualización a través del sistema de auto-actualización para todos los sitios que ejecuten versiones afectadas, en lugar de esperar a que los administradores actúen manualmente.

Tú también puedes actualizar manualmente a través del Panel de Control de WordPress navegando hasta Actualizaciones y haciendo clic en "Actualizar ahora", o descargando la versión directamente desde WordPress.org.

El equipo de seguridad ha acreditado a tres investigadores, TF1T, dtro y haongo, por reportar conjuntamente el problema de inyección SQL, junto con Adam Kues por identificar la cadena de RCE de ruta por lotes de la API REST.

Para los administradores que no puedan actualizar inmediatamente, Searchlight Cyber recomienda medidas provisionales de emergencia, aunque estas pueden interrumpir la funcionalidad legítima del sitio:

• Instala un plugin que bloquee completamente el acceso anónimo a la API REST
• Bloquea los endpoints /wp-json/batch/v1 y ?rest_route=/batch/v1 a nivel de WAF
• Trata ambas opciones solo como temporales, hasta que se aplique el parche oficial

Dada la escala de la base de instalaciones de WordPress y la naturaleza de este exploit (sin clics y sin necesidad de plugins), los equipos de seguridad te instan a parchear inmediatamente en lugar de confiar en soluciones temporales.

Fuentes:
https://cybersecuritynews.com/wp2shell-rce-vulnerability/