Atacantes están explotando activamente una falla crítica en la extensión de WooCommerce Wholesale Lead Capture para tomar el control de sitios de WordPress sin necesidad de usuario ni contraseña. La vulnerabilidad, identificada como CVE-2026-27540 y con una puntuación de severidad de 9.8, permite transformar una función rutinaria de subida de archivos en un acceso directo al servidor.

Los atacantes están explotando activamente un fallo crítico en una extensión de WooCommerce para tomar el control de sitios de WordPress sin necesidad de un nombre de usuario o contraseña. El problema afecta a Wholesale Lead Capture y convierte una función rutinaria de subida de archivos en una vía directa de acceso al servidor.

La vulnerabilidad, registrada como CVE-2026-27540, tiene una puntuación de severidad CVSS de 9.8 y afecta a las versiones hasta la 2.0.3.1. Un atacante puede acceder a la función de subida expuesta y colocar código ejecutable en un sitio web no parcheado. Esto significa que una tienda online puede verse comprometida antes incluso de que tú, como propietario, inicies sesión.

Los analistas de Wordfence identificaron abusos activos e informaron haber bloqueado más de 100,000 intentos de explotación. La actividad ha continuado durante meses, con ráfagas notables del 4 al 17 de junio, y nuevamente el 1 de julio y el 30 de agosto.

Wordfence afirmó en un informe que la escala es relevante porque se estima que la extensión afectada se ejecuta en unos 6,000 sitios activos.

Una intrusión exitosa puede exponer los datos de tus clientes, permitir el fraude en los pagos o convertir tu tienda en una plataforma para más ataques. La cobertura reciente sobre fallos en plugins de migración de WordPress demuestra por qué los errores de falta de autenticación merecen tu atención inmediata.

Explotan un error en el plugin de WooCommerce

La debilidad reside en el formulario de registro al por mayor del plugin, que permite a los visitantes subir archivos. Su proceso de subida verifica una lista de tipos de archivos permitidos, pero acepta esa lista desde la solicitud del visitante en lugar de utilizar una configuración confiable almacenada en el servidor.

Por lo tanto, un atacante puede alterar la lista y hacer que el sitio acepte un archivo PHP. Ese pequeño error de validación tiene consecuencias graves. El PHP es código que un servidor de WordPress puede ejecutar, por lo que una puerta trasera (backdoor) subida puede darle a un intruso un punto de apoyo remoto.

Desde allí, el operador puede ejecutar comandos, añadir cuentas de administrador, copiar información almacenada o realizar cambios que le permitan volver más tarde. Esto se asemeja a los riesgos de persistencia descritos en la cobertura de malware malicioso para sitios de WooCommerce.

La subida no requiere ninguna cuenta de WordPress. El atacante solo tiene que enviar una solicitud manipulada al manejador público del plugin. La lógica de subida vulnerable también elude las comprobaciones normales de tipo de archivo, eliminando una salvaguarda clave que debería detener los archivos ejecutables.

Esto no es simplemente un hallazgo teórico. El payload observado proporciona una forma basada en el navegador para ver los detalles del host y escribir más archivos, permitiendo a los atacantes profundizar su acceso tras la intrusión inicial. Debes tratar cualquier cambio inexplicable en tu servidor como un posible compromiso.

Parchea tus sitios y revisa si hubo intrusiones

Actualiza Wholesale Lead Capture a la versión 2.0.3.2 lo antes posible. También debes hacer un inventario de las extensiones de WordPress en cada tienda y entorno de prueba. Antes de actualizar, tu equipo debería registrar las versiones de los plugins y conservar una copia del sitio afectado para su análisis.

Debes verificar que se crearan copias de seguridad antes de la intrusión. Mantener un respaldo probado es útil, pero debes revisarlo antes de la restauración para no reintroducir archivos maliciosos.

Como propietario del sitio, debes examinar las carpetas de subida en busca de archivos PHP inesperados o creados recientemente, inspeccionar las cuentas de administrador para detectar entradas desconocidas y revisar los registros del servidor buscando el patrón de ataque indicado a continuación.

Debes eliminar los archivos maliciosos confirmados, revocar las cuentas desconocidas, restablecer las contraseñas privilegiadas y buscar puertas traseras secundarias. Una disciplina de respuesta similar es importante tras detectar puertas traseras en la cadena de suministro de plugins, donde los atacantes pueden dejar un acceso duradero.

La ausencia de entradas sospechosas en el registro no prueba que tu sitio esté seguro, ya que los atacantes pueden utilizar otra infraestructura o borrar los rastros.

Si tu organización procesa pedidos, también debes comprobar si hay cambios inusuales en las páginas de pago, nuevas tareas programadas y conexiones salientes inesperadas. Conserva los registros y las copias de los archivos sospechosos antes de la limpieza si es posible que necesites una investigación del incidente.

Los desarrolladores deben validar los tipos de archivos y los límites de tamaño en el servidor, evitar confiar en la configuración proporcionada por el navegador y evitar que los archivos subidos se ejecuten como código.

Para ti, como operador de la tienda, el parcheo rápido y las revisiones rutinarias siguen siendo la defensa más práctica cuando los atacantes ya están escaneando en busca de un fallo conocido. Las nuevas comprobaciones de seguridad en las actualizaciones de plugins añaden otra capa defensiva, pero no sustituyen el parcheo rápido ni la revisión posterior al incidente.