TeamUpdraft, el desarrollador del plugin de copias de seguridad UpdraftPlus para WordPress, informó sobre una brecha de seguridad en su sitio web que expuso claves de gestión remota. Los atacantes utilizaron estas claves para instalar plugins maliciosos en sitios de WordPress conectados, convirtiendo una función de gestión confiable en una vía para ejecutar código dañino. El acceso no autorizado al dominio teamupdraft.com ocurrió entre el 17 y 18 de octubre de 2026.

Algunas descargas de la versión 3.0.123 del plugin Rank Math PRO fueron comprometidas con malware que instalaba puertas traseras y robaba credenciales sensibles. El proveedor ya lanzó la versión limpia 3.0.124, pero advierte que actualizar el plugin no elimina la amenaza si ya fue activado. Se recomienda a los usuarios afectados restaurar copias de seguridad, eliminar manualmente los archivos maliciosos y cambiar todas sus contraseñas y claves.

Están explotando vulnerabilidades XSS en los plugins de WordPress Ninja Forms y WPC Product Bundles para instalar puertas traseras y crear cuentas de administrador ocultas. El ataque utiliza JavaScript malicioso para instalar un plugin falso que garantiza el acceso persistente al sitio, incluso si el plugin original se elimina. Se recomienda actualizar urgentemente a las versiones más recientes y revisar el sistema en busca de posibles infecciones.

Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

Atacantes están explotando activamente una falla crítica en la extensión de WooCommerce Wholesale Lead Capture para tomar el control de sitios de WordPress sin necesidad de usuario ni contraseña. La vulnerabilidad, identificada como CVE-2026-27540 y con una puntuación de severidad de 9.8, permite transformar una función rutinaria de subida de archivos en un acceso directo al servidor.

Se han descubierto dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar, que afectan a más de 600,000 instalaciones activas. Estos fallos, detectados por el equipo de Wordfence, podrían permitir que atacantes no autenticados tomen el control total de los sitios web vulnerables mediante la ejecución remota de código, el restablecimiento de contraseñas de administrador y el despliegue de malware, comprometiendo así el servidor por completo.

WordPress implementará revisiones de seguridad automatizadas mediante IA para cada actualización de plugins y temas antes de su distribución. El sistema asignará un puntaje de riesgo y bloqueará automáticamente aquellas versiones que presenten vulnerabilidades o código malicioso. Los desarrolladores deberán corregir los fallos detectados para que sus actualizaciones puedan ser publicadas.