Se ha descubierto una cadena de vulnerabilidades críticas en el núcleo de WordPress, identificada como CVE-2026-64638 y apodada XSS2Shell. Este fallo permite transformar un simple intento de inicio de sesión fallido en una ejecución remota de código (RCE) completa en el servidor. Debido a que el error reside en código presente desde la versión 4.7, afecta a prácticamente todas las instalaciones activas de WordPress.

Una cadena de vulnerabilidades críticas en el núcleo de WordPress, rastreada como CVE-2026-64638 y apodada XSS2Shell, que convierte un único intento de inicio de sesión fallido en una ejecución remota de código completa en el servidor subyacente.

Debido a que el fallo reside en un código que se ha distribuido con WordPress desde la versión 4.7, afectaba efectivamente a casi todas las instalaciones mantenidas activamente del sistema de gestión de contenidos más popular del mundo, que impulsa más del 43% de todos los sitios web en internet, poniendo en riesgo a unos 500 millones de sitios antes de que llegara la solución.

La cadena comienza en la página de inicio de sesión ordinaria, wp-login.php. Cuando se envía un nombre de usuario que no existe, WordPress construye un mensaje de error utilizando una función de saneamiento llamada wp_strip_all_tags.

Investigadores de seguridad de pwn.ai han revelado que insertar un espacio entre el paréntesis angular de apertura y el nombre de una etiqueta, como "< area", hace que el analizador strip_tags de PHP trate la cadena como texto inofensivo, mientras que el saneador KSES de WordPress reinterpreta más tarde esa misma cadena como elementos HTML legítimos.

Ese desacuerdo entre analizadores permite que un atacante introduzca elementos activos controlados por él, como <area>, <div> y <button>, directamente en la página de inicio de sesión renderizada, sin necesidad de tener una cuenta ni de autenticación previa.

Vulnerabilidad WordPress XSS2Shell

Esos elementos inyectados no son scripts en sí mismos, pero están diseñados para coincidir con selectores que el archivo user-profile.js de WordPress busca automáticamente al cargar la página, un script remanente de la funcionalidad de restablecimiento de contraseñas.

Esto provoca que el navegador active automáticamente un evento de clic que desencadena una solicitud AJAX y, mediante una técnica llamada DOM clobbering, el elemento inyectado por el atacante secuestra la URL de destino de esa solicitud.

Dirigida a la API REST de WordPress con parámetros de anulación de método y JSONP, la solicitud regresa envuelta en JavaScript ejecutable, lo que otorga al atacante la ejecución de scripts arbitrarios dentro del origen de WordPress, puramente antes de la autenticación, según indicó pwn.ai.

Por sí solo, este XSS reflejado ya es grave, pero el aviso de WordPress y los análisis independientes confirman que, bajo condiciones específicas, puede escalar a una ejecución remota de código.

Si un administrador conectado es atraído a una página maliciosa de terceros e interactúa con ella, el script del atacante puede aprovechar la sesión del administrador para crear una contraseña de aplicación de WordPress, publicar una página que contenga JavaScript del atacante utilizando los privilegios de unfiltered_html del administrador y, finalmente, cargar un archivo ZIP de un plugin que contenga una shell web de PHP, todo a través de llamadas legítimas y autenticadas a la API de WordPress que el administrador nunca aprobó explícitamente.

El aviso oficial de WordPress señala que esta ruta de escalada requiere ingeniería social e interacción explícita de la víctima, factores fuera del control directo del atacante, razón por la cual el CVE tiene una puntuación CVSS de 8.9 en lugar de la calificación máxima.

WordPress lanzó un parche de emergencia en la versión 7.0.3, publicada el 6 de agosto de 2026, junto con otros once parches de seguridad. Dada la gravedad, el equipo de seguridad de WordPress aplicó el parche retroactivamente hasta la versión 4.7, cubriendo todas las ramas que aún reciben actualizaciones de seguridad.

Actualmente no hay evidencia de explotación activa en el mundo ni un exploit de prueba de concepto público, según los rastreadores de vulnerabilidades que monitorean el CVE. Como dueño o administrador de un sitio, debes actualizar a WordPress 7.0.3 o al parche retroactivo correspondiente inmediatamente, ya que la mayoría de los hosts gestionados aplican esto automáticamente, pero los sitios auto-alojados a menudo requieren intervención manual.

La técnica subyacente se basa en una técnica de investigación de Ejecución de Método de Mismo Origen (SOME) de 2022 publicada por Paulos Yibelo, que originalmente se utilizó para evadir las protecciones de la Política de Seguridad de Contenido (CSP) en sitios de WordPress y fue nominada como la Mejor Técnica de Hackeo Web del año.

Fuentes:
https://cybersecuritynews.com/wordpress-xss2shell-vulnerability/