Se han detectado fallos de seguridad críticos en varios complementos y temas de WordPress, incluyendo Avada, GiveWP y TranslatePress. Estas vulnerabilidades podrían permitir a atacantes no autenticados tomar el control total de los sitios, saltar la autenticación o ejecutar código remoto. Se recomienda actualizar los plugins afectados para mitigar estos riesgos graves.

Se ha detectado una vulnerabilidad crítica (CVE-2026-82222) en el plugin GiveWP de WordPress que permite a atacantes ejecutar comandos remotos en el servidor. El fallo permite crear cuentas no autorizadas y procesar donaciones maliciosas para inyectar código. Se insta a los administradores a actualizar urgentemente a la versión 4.16.7.2 para solucionar el problema.

Se ha detectado una vulnerabilidad crítica (CVE-2026-19632) en el plugin de WordPress TranslatePress, que afecta a más de 400,000 sitios web. Este fallo permitía que atacantes no autenticados secuestraran cuentas de administrador y comprometieran totalmente las webs afectadas. El problema impacta a las versiones hasta la 3.3.1 y ya ha sido solucionado en la versión 3.3.2.

Se han detectado dos vulnerabilidades graves de omisión de autenticación en el plugin miniOrange SAML 2.0 de WordPress. Estas fallas permiten que atacantes no autenticados inicien sesión como cualquier usuario, incluidos los administradores, mediante respuestas SAML manipuladas. Se recomienda actualizar el plugin a las versiones más recientes para evitar que actores malintencionados tomen el control de los sitios afectados.

Están explotando dos vulnerabilidades críticas en el plugin miniOrange SAML SSO de WordPress que permiten saltar la autenticación y acceder como administradores. Aunque ya existen parches desde julio, muchos usuarios de versiones de pago no fueron notificados, dejando sus sitios expuestos. Se recomienda actualizar manualmente a las versiones corregidas para evitar el acceso no autorizado.

Se ha detectado una vulnerabilidad crítica (CVE-2026-19598) en el plugin Everest Forms de WordPress, que afecta a más de 100,000 sitios web. Con una puntuación de gravedad de 9.8, este fallo permite que atacantes no autenticados suban archivos maliciosos y ejecuten código de forma remota, lo que podría resultar en el control total de los sitios afectados.

Se detectaron fallos críticos en los plugins Forminator Forms y User Profile Builder de WordPress que permiten la ejecución remota de código y el acceso no autorizado como administrador. Ambos errores, con una calificación de gravedad de 9.8, podrían comprometer totalmente los sitios afectados. Se recomienda a los propietarios actualizar inmediatamente a las versiones 1.56.2 y 3.16.5 respectivamente.

Un ataque de cadena de suministro dirigido a los complementos de WordPress de BdThemes ha dejado a los administradores de sitios expuestos al robo de cuentas, despliegue de webshells y puertas traseras persistentes. Wordfence Threat Intelligence detectó el incidente el 7 de agosto de 2026, descubriendo que los atacantes habían contaminado un feed de API promocional remoto utilizado por varios complementos populares, incluyendo Element Pack.

Adobe lanzó un plugin para ChatGPT que integra más de 70 herramientas de aplicaciones como Photoshop, Premiere e Illustrator, permitiendo generar diseños y vídeos directamente desde el chat.

Se ha detectado una puerta trasera crítica en la cadena de suministro del plugin de WordPress Advanced Responsive Video Embedder (versión 10.8.7). Esta vulnerabilidad, identificada como CVE-2026-18072 con una puntuación CVSS de 9.8, permite que atacantes no autenticados obtengan acceso total de administrador. El problema, detectado por la IA de Wordfence PRISM, afecta a aproximadamente 20,000 instalaciones activas.

El grupo de amenazas UAC-0099 ha lanzado una nueva campaña sigilosa en la que secuestra un plugin legítimo de Notepad++ para instalar malware en los equipos de sus víctimas. Según el CERT-UA de Ucrania, este ataque, que representa una evolución en sus tácticas desde mediados de 2026, comienza mediante correos electrónicos de phishing que contienen una imagen con un enlace acortado.

Se ha descubierto una vulnerabilidad de seguridad crítica en el plugin WordPress OAuth Single Sign-On (SSO (OAuth Client) desarrollado por miniOrange. Este fallo, identificado como CVE-2026-57807 y con una puntuación de gravedad de 9.8, permite que atacantes remotos no autenticados tomen el control total de millones de sitios web de WordPress. La vulnerabilidad fue revelada por Patchstack el 9 de julio de 2026.

Se ha detectado una vulnerabilidad de seguridad crítica en el plugin de WordPress Avada (Fusion) Builder, que afecta a más de 1 millón de sitios web. El fallo, identificado como CVE-2026-8713 con una puntuación CVSS de 9.1, permite ataques de eliminación arbitraria de archivos, lo que podría derivar en la ejecución remota de código y el compromiso total del sitio.

Están explotando activamente una vulnerabilidad de exposición de información sensible en el plugin de WordPress Gravity SMTP. El ataque afecta a más de 100,000 sitios con el objetivo de recolectar datos de configuración y credenciales de correo electrónico. El fallo, identificado como CVE-2026-4020 y con una calificación de riesgo medio (5.3), impacta a todas las versiones del plugin hasta la 2.1.4.

Se ha descubierto una campaña de malware a gran escala en el JetBrains Marketplace, donde se identificaron al menos 15 complementos (plugins) maliciosos diseñados para robar claves API confidenciales de los desarrolladores. Estos plugins, que fueron descargados más de 70,000 veces, se publicaron bajo siete cuentas de proveedores diferentes y se hacían pasar por asistentes de codificación basados en IA legítimos.

Aikido Security descubrió una campaña de malware en el Marketplace de JetBrains con al menos 15 plugins diseñados para robar claves API de servicios de IA. Estos plugins, instalados cerca de 70,000 veces, funcionan normalmente pero envían secretamente las credenciales de los usuarios a un servidor externo. Se sospecha que los atacantes revenden estas claves robadas a usuarios de pago.

Un ataque de cadena de suministro a gran escala ha afectado a plugins de WordPress muy utilizados, exponiendo a más de 1,2 millones de sitios web a posibles compromisos. Los atacantes lograron inyectar código malicioso en archivos JavaScript legítimos distribuidos a través de infraestructuras de CDN confiables. Según investigadores de Sansec, la campaña se centró en plugins desarrollados por Awesome Motive, tales como OptinMonster, TrustPulse y PushEngage.

Un atacante manipuló archivos JavaScript de los plugins PushEngage, OptinMonster y TrustPulse para tomar el control de sitios de WordPress. Al detectar a un administrador conectado, el código creaba una cuenta de admin maliciosa e instalaba un plugin oculto para ejecutar comandos remotamente. Se recomienda a los usuarios realizar un escaneo directo del servidor y revisar el sistema de archivos para eliminar cuentas y carpetas sospechosas.

Se ha detectado una vulnerabilidad crítica en el plugin de WordPress Kirki (versiones 6.0.0 a 6.0.6), identificada como CVE-2026-8206 con una puntuación de riesgo de 9.8. Este fallo expone a más de 500,000 sitios web a posibles ataques de toma de control de cuentas, estimándose que aproximadamente 150,000 sitios son activamente vulnerables.

OpenAI actualiza Codex transformándola en una herramienta accesible para todos, no solo programadores, mediante nuevos plugins y funciones de trabajo colaborativo para equipos de cualquier perfil técnico.