Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

Atacantes están explotando activamente una falla crítica en la extensión de WooCommerce Wholesale Lead Capture para tomar el control de sitios de WordPress sin necesidad de usuario ni contraseña. La vulnerabilidad, identificada como CVE-2026-27540 y con una puntuación de severidad de 9.8, permite transformar una función rutinaria de subida de archivos en un acceso directo al servidor.

Se han descubierto dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar, que afectan a más de 600,000 instalaciones activas. Estos fallos, detectados por el equipo de Wordfence, podrían permitir que atacantes no autenticados tomen el control total de los sitios web vulnerables mediante la ejecución remota de código, el restablecimiento de contraseñas de administrador y el despliegue de malware, comprometiendo así el servidor por completo.

WordPress implementará revisiones de seguridad automatizadas mediante IA para cada actualización de plugins y temas antes de su distribución. El sistema asignará un puntaje de riesgo y bloqueará automáticamente aquellas versiones que presenten vulnerabilidades o código malicioso. Los desarrolladores deberán corregir los fallos detectados para que sus actualizaciones puedan ser publicadas.