WordPress ha lanzado la versión 7.0.4, una actualización de seguridad crítica que corrige una vulnerabilidad de ejecución remota de código (RCE). Este fallo afecta a los sitios que procesan imágenes utilizando la extensión Imagick y Ghostscript, permitiendo que se ejecute código malicioso a través de archivos PNG. El equipo de seguridad insta a los propietarios de sitios a actualizar inmediatamente.

WordPress ha lanzado la versión 7.0.4, una actualización centrada en la seguridad que cierra una vulnerabilidad de ejecución remota de código que afecta a los sitios que procesan imágenes con la extensión Imagick y Ghostscript.

El equipo de seguridad de WordPress te insta a que actualices inmediatamente, ya sea a través de la pantalla de Actualizaciones del Escritorio o descargando la versión directamente desde WordPress.org, ya que los sitios con actualizaciones automáticas en segundo plano ya deberían estar recibiendo el parche.

El fallo, rastreado como CVE-2026-65640 y detallado en GHSA-8vr3-7mxf-gx8w, fue revelado responsablemente por investigadores de pwn.ai y permite que un usuario autenticado con nivel de Autor logre la ejecución remota de código a través de la carga de un archivo manipulado.

El problema surge de la dependencia de WordPress en ImageMagick para redimensionar y procesar imágenes de la Biblioteca de Medios. ImageMagick no se detiene en JPEGs y PNGs; también abre archivos PostScript, EPS y PDF, y para renderizar esos formatos delega el trabajo a Ghostscript, una herramienta con un largo historial de ser engañada para ejecutar comandos no deseados.

Vulnerabilidad RCE de WordPress Imagick

Los investigadores de seguridad reconocerán esto como la misma familia de errores que estuvo detrás de las notorias vulnerabilidades "ImageTragick" de hace años.

El problema central era una discrepancia en cómo se identifican los archivos. ImageMagick determina el tipo de archivo leyendo su contenido real, mientras que el método WP_Image_Editor_Imagick::load() de WordPress confiaba mayoritariamente en la extensión del archivo.

Eso significaba que un archivo llamado algo inocente como holiday.png podía contener en realidad código PostScript, superar los controles de carga y aun así ser entregado a Imagick, que reconocería el PostScript embebido e invocaría a Ghostscript para ejecutarlo.

Normalmente, la función wp_check_filetype_and_ext() de WordPress detecta este tipo de discrepancia durante las cargas estándar, pero no todas las rutas de carga pasan por esa comprobación.

El método wp.uploadFile de XML-RPC y la rutina de extracción de arte de portada para archivos MP3 cargados escriben bytes directamente usando wp_upload_bits(), lo que omite por completo la inspección del contenido, dando a los atacantes una ruta alternativa para plantar una carga útil maliciosa.

La solución, incluida en el commit 7daaa50, reescribe la función load() para que inspeccione el contenido real de un archivo antes de construir un objeto Imagick.

Ahora escanea el primer fragmento de cada archivo cargado y bloquea cualquier cosa que tenga firmas de PostScript o EPS, PDFs falsos que reclaman la extensión pero carecen del encabezado genuino %PDF-, y archivos comprimidos como gzip o bzip2 que ImageMagick, de otro modo, descomprimiría silenciosamente.

El parche también cierra un truco más astuto donde los atacantes podían poner un prefijo al nombre del archivo con un especificador de formato, como EPS:innocent.png, para forzar a ImageMagick hacia el decodificador peligroso; el nuevo código elimina y valida estos prefijos evitando cuidadosamente falsos positivos en letras de unidad de Windows, y aplica el mismo escrutinio a los nombres de archivos que llegan a través de URLs remotas o flujos (streams).

La explotación requiere acceso de nivel de Autor o superior, por lo que no se trata de un ataque no autenticado al azar. Dicho esto, el riesgo en el mundo real depende en gran medida de quién tenga cuentas en un sitio determinado.

Las publicaciones multi-autor, las plataformas de membresía y los sitios de clientes con acceso de colaborador abierto o gestionado laxamente enfrentan una exposición real, ya que cualquier Autor puede intentar cargar un archivo trampa disfrazado de imagen. Los sitios limitados a un equipo editorial pequeño y de confianza conllevan un riesgo comparativamente bajo.

Como cortesía, las correcciones se están adaptando a través de la rama 4.7 y en el próximo lanzamiento 7.1 RC3, aunque solo la versión más reciente de WordPress recibe soporte completo continuo. Debes verificar tu versión y actualizar sin demora, particularmente en sitios donde los privilegios de carga se extienden más allá de un equipo central de confianza.

La lección más amplia es válida para cualquier plataforma que gestione cargas de usuarios: el peligro rara vez reside en la imagen misma, sino en todo lo que la biblioteca de procesamiento de imágenes subyacente es capaz de abrir silenciosamente.

Fuentes:
https://cybersecuritynews.com/wordpress-imagick-rce-vulnerability/