Se ha detectado la explotación activa de una vulnerabilidad crítica (CVE-2026-32475) en el plugin Elementor Pro de WordPress, que permite a atacantes subir archivos PHP maliciosos para ejecutar comandos remotos. El fallo afecta a versiones 4.2.1 y anteriores, aprovechando una validación incorrecta en los formularios de carga de archivos. Se recomienda actualizar inmediatamente a la versión 4.2.2 e inspeccionar el servidor en busca de archivos sospechosos.





Una vulnerabilidad crítica recientemente parcheada (CVE-2026-32475) en el plugin Elementor Pro para WordPress está siendo explotada en ataques que entregan una carga útil de webshell y ejecutan comandos arbitrarios en el servidor.

Elementor Pro es un plugin de WordPress popular con más de 6 millones de instalaciones activas, que permite a los usuarios construir sitios web utilizando una interfaz de arrastrar y soltar.

La vulnerabilidad CVE-2026-32475 fue parcheada el 19 de agosto. Desde entonces, el firewall de aplicaciones web Wordfence de Defiant ha bloqueado casi 200,000 intentos de explotación dirigidos a sus clientes.

El problema se deriva de una validación defectuosa de las matrices de carga de archivos en los formularios de Elementor Pro y está presente en las versiones 4.2.1 y anteriores.

Al enviar un archivo vacío como primer elemento de la matriz y un archivo PHP malicioso como segundo, los atacantes pueden hacer que el plugin deje de validar los archivos posteriores.

La carga útil subida se almacena en /wp-content/uploads/elementor/forms/ y luego puede ser accedida para ejecutar comandos de forma remota.

La plataforma de ciberseguridad de WordPress, Patchstack, advirtió el mes pasado que los atacantes podrían explotarlo para subir archivos PHP arbitrarios y activar la ejecución de código PHP en el servidor.

La explotación solo es posible cuando un sitio tiene un widget de Formulario de Elementor Pro publicado que contenga al menos un campo de carga de archivos, una configuración común.

Ayer, Wordfence alertó que la actividad que explota CVE-2026-32475 comenzó el 19 de agosto, el mismo día que Elementor lanzó la versión 4.2.2 que solucionaba la vulnerabilidad.

“El atacante envía el campo de carga de archivos del formulario como una matriz, donde el primer elemento está vacío y el segundo elemento lleva una carga útil PHP con un nombre de archivo .php, que es la estructura que activa la omisión de la validación”, afirma Wordfence en su blog.


“Una vez escrito, el archivo PHP subido se coloca en el directorio /wp-content/uploads/elementor/forms/ bajo un nombre de archivo generado aleatoriamente con la extensión .php proporcionada por el atacante, y el atacante puede solicitarlo directamente para ejecutar comandos arbitrarios en el servidor”, señala la firma de seguridad.

Wordfence observó un aumento de la actividad de ataque entre el 19 y el 23 de agosto, reportando más de 190,000 intentos de explotación bloqueados.

También se proporciona una lista de direcciones IP que lanzaron miles de ataques para que los defensores puedan agregarlas a sus listas de bloqueo.

Los administradores deben actualizar a Elementor Pro 4.2.2 o posterior inmediatamente e inspeccionar el directorio /wp-content/uploads/elementor/forms/ en busca de archivos PHP maliciosos.

Dado que esta ubicación se utiliza para almacenar los envíos de formularios cargados, la presencia de un archivo PHP es un indicador sólido de compromiso que debería activar operaciones de limpieza.

Fuente:
BleepingComputer