Se insta a los administradores de WordPress a parchear una vulnerabilidad grave del núcleo (CVE-2026-93485) que permite la ejecución de comandos en el servidor a través de comentarios anónimos. El fallo, demostrado mediante el concepto de prueba Comment2Shell, consiste en un problema de cross-site scripting (XSS) almacenado no autenticado en la función de formato wpautop(). WordPress ya ha solucionado este error en la versión 7.1.1.

Se insta a los administradores de WordPress a parchear una vulnerabilidad del núcleo de severidad alta que puede convertir un comentario anónimo en la ejecución de comandos en el servidor.

Rastreada como CVE-2026-93485 y demostrada por la prueba de concepto Comment2Shell, la falla es un problema de cross-site scripting (XSS) almacenado no autenticado en la función de formateo wpautop() de WordPress. WordPress corrigió la vulnerabilidad en la versión 7.1.1 y aconsejó a los propietarios de los sitios que actualicen inmediatamente.

Comment2Shell muestra cómo un marcado aparentemente inofensivo puede volverse ejecutable solo cuando WordPress renderiza un comentario almacenado. Un salto de línea manipulado dentro del atributo cite de un elemento blockquote permitido sobrevive a la sanitización inicial de KSES.

Durante la visualización, wpautop() reemplaza ese salto de línea con un marcador de posición de comentario HTML, mientras que una expresión regular defectuosa se detiene en el primer paréntesis angular de cierre e inserta un elemento de párrafo dentro del atributo.

El formateo posterior hace que el navegador interprete los atributos onfocus y autofocus controlados por el atacante, activando JavaScript automáticamente cuando carga la página.

El XSS resultante se ejecuta con los privilegios de la persona que ve la publicación. Si ese visitante es un administrador conectado, la carga útil puede acceder a las funciones administrativas de WordPress, recuperar el nonce de instalación de plugins, construir un archivo ZIP en el navegador y cargar una webshell disfrazada de plugin.

Vulnerabilidad WordPress Comment2Shell

La prueba de concepto publicada por Syed Wajeeh-ul-Hassan Rizvi ejecuta entonces un comando y elimina la shell PHP y el directorio del plugin, reduciendo los rastros obvios. No se requiere ninguna cuenta de atacante ni un nonce obtenido previamente, aunque un administrador con privilegios debe ver la publicación afectada.

La explotación exitosa también depende de que los comentarios estén habilitados, de que se acepten envíos anónimos y de que el comentario malicioso se vuelva visible.

La cadena demostrada se basa en el comportamiento de renderizado de los temas de bloques; los temas clásicos podrían no activar la misma transformación de atributos. La aprobación de comentarios puede limitar la exposición inmediata, pero no debe tratarse como una barrera de seguridad porque las identidades aprobadas previamente y el comportamiento de vista previa pueden permitir que aparezca contenido manipulado.

CVE-2026-93485 tiene una puntuación CVSS 3.1 de 7.1 y afecta a las versiones de WordPress desde la 4.7 hasta la 7.1.0, con compilaciones parcheadas específicas para cada rama que se extienden hasta la 4.7.36.

Rafie Muhammad de Awesome Motive informó sobre la vulnerabilidad subyacente de wpautop() a través del proceso de divulgación coordinada de WordPress; el proyecto Comment2Shell empaqueta el problema descubierto independientemente en un escáner de Python sin dependencias, un entorno de laboratorio, una demostración del exploit, una plantilla de Nuclei y un verificador de IOC.

Para protegerte, debes actualizar a WordPress 7.1.1 o a la versión parcheada más reciente disponible para tu rama mantenida. También deberías inspeccionar la base de datos wp_comments en busca de combinaciones inusuales de blockquote, cite, onfocus o autofocus; revisar las solicitudes a wp-comments-post.php y wp-admin/update.php; y buscar archivos PHP desconocidos creados recientemente en wp-content/plugins.

Hasta que completes el parcheo, desactivar los comentarios puede reducir la exposición. Cualquier carga de plugin sospechosa debería activar una revisión de respuesta a incidentes de las sesiones del administrador, archivos, registros, credenciales y mecanismos de persistencia.

En el momento de la divulgación, los investigadores no habían informado de una explotación activa, pero la prueba de concepto pública reduce la barrera para la replicación. Debes priorizar tus sitios y tratar cualquier actividad de comentarios inexplicable o directorios de plugins sospechosos como evidencia de compromiso.

Fuentes:
https://cybersecuritynews.com/wordpress-comment2shell-vulnerability/