Se ha detectado una nueva cadena de ataque que pone en riesgo a los administradores de WordPress que mantienen su panel de control abierto en el mismo navegador que usan para navegar habitualmente. Investigadores han documentado el uso de un cargador de JavaScript que, al detectar una sesión activa de administrador en una página comprometida, aprovecha dicha confianza del navegador para instalar un backdoor de PHP oculto en el sitio.

TeamUpdraft, el desarrollador del plugin de copias de seguridad UpdraftPlus para WordPress, informó sobre una brecha de seguridad en su sitio web que expuso claves de gestión remota. Los atacantes utilizaron estas claves para instalar plugins maliciosos en sitios de WordPress conectados, convirtiendo una función de gestión confiable en una vía para ejecutar código dañino. El acceso no autorizado al dominio teamupdraft.com ocurrió entre el 17 y 18 de octubre de 2026.

WP2Shell es una vulnerabilidad que combina dos fallos del núcleo de WordPress para permitir la ejecución de código en el servidor mediante solicitudes no autenticadas. Esto permite a un atacante crear cuentas de administrador e instalar web shells basadas en plugins. Según el análisis de Seqrite, los fallos fueron revelados en julio de 2026 y, aunque se han identificado las versiones afectadas, no se ha detectado una explotación masiva en tiempo real.

Algunas descargas de la versión 3.0.123 del plugin Rank Math PRO fueron comprometidas con malware que instalaba puertas traseras y robaba credenciales sensibles. El proveedor ya lanzó la versión limpia 3.0.124, pero advierte que actualizar el plugin no elimina la amenaza si ya fue activado. Se recomienda a los usuarios afectados restaurar copias de seguridad, eliminar manualmente los archivos maliciosos y cambiar todas sus contraseñas y claves.

Están explotando vulnerabilidades XSS en los plugins de WordPress Ninja Forms y WPC Product Bundles para instalar puertas traseras y crear cuentas de administrador ocultas. El ataque utiliza JavaScript malicioso para instalar un plugin falso que garantiza el acceso persistente al sitio, incluso si el plugin original se elimina. Se recomienda actualizar urgentemente a las versiones más recientes y revisar el sistema en busca de posibles infecciones.

WordPress lanzó la versión 7.1.3 el 6 de octubre de 2026 para corregir vulnerabilidades de cross-site scripting (XSS), inyección SQL y divulgación de información, entre otras fallas de seguridad. Se recomienda realizar la actualización inmediata, ya que solo la versión más reciente cuenta con soporte activo. Aunque la documentación menciona siete problemas de seguridad, existe una inconsistencia en su introducción que solo describe uno.

Una imagen HEIC maliciosa puede permitir la ejecución remota de código en servidores de WordPress. Investigadores han demostrado que es posible convertir una carga normal en la Biblioteca de Medios en una ejecución de código en el proceso PHP-FPM del sitio, debido a una vulnerabilidad en libheif, un componente común utilizado para leer formatos HEIC, HEIF y AVIF.

Los respaldos expuestos de WordPress se han convertido en una fuente valiosa de credenciales de correo electrónico y la nube para atacantes que utilizan un kit de herramientas llamado TIKTOUK. En lugar de usar una sola técnica, sus componentes buscan archivos sensibles en sitios web, recuperan contraseñas almacenadas y recolectan secretos de JavaScript entregados a los visitantes. La operación ya estaba activa a gran escala cuando los investigadores la detectaron.

Se ha detectado un backdoor en WordPress llamado SC que permite que el malware se reinstale automáticamente a los pocos segundos de haber sido eliminado. Esta infección se distribuye entre los archivos del sitio web, la base de datos y la memoria del servidor, lo que permite que los componentes supervivientes restauren las partes eliminadas, creando un ciclo de reinfección constante. Hasta el momento, la investigación no ha determinado el punto de entrada original ni el número total de sitios afectados.

ClickFix es una técnica de ataque empresarial que engaña a los usuarios para que copien y peguen comandos maliciosos en interfaces del sistema, evitando así la detección de antivirus y firewalls. Utiliza infraestructura avanzada basada en blockchain para evadir bloqueos de dominios y filtra a sus víctimas mediante huellas digitales del dispositivo. Para prevenirlo, se recomienda bloquear la escritura en el portapapeles desde el navegador y nunca ejecutar comandos pegados desde sitios web.

Una vulnerabilidad de CSRF en las versiones 4.3.0 y 4.3.1 del plugin Elementor para WordPress permite a atacantes crear cuentas de administrador mediante un enlace malicioso. Al engañar a un administrador conectado, el atacante puede ejecutar acciones de la API REST saltándose las validaciones de seguridad. Se recomienda actualizar urgentemente a la versión 4.3.2 para corregir este fallo.

Se insta a los administradores de WordPress a parchear una vulnerabilidad grave del núcleo (CVE-2026-93485) que permite la ejecución de comandos en el servidor a través de comentarios anónimos. El fallo, demostrado mediante el concepto de prueba Comment2Shell, consiste en un problema de cross-site scripting (XSS) almacenado no autenticado en la función de formato wpautop(). WordPress ya ha solucionado este error en la versión 7.1.1.

Se ha detectado la explotación activa de una vulnerabilidad crítica en WordPress (CVE-2026-87902) que permite la ejecución remota de código. Los atacantes aprovechan ciertas condiciones del servidor y el tema activo para escribir archivos maliciosos en el sistema. Se recomienda a los administradores actualizar inmediatamente a las versiones más recientes para evitar compromisos de seguridad.

Un actor de amenazas vinculado al grupo Red Heron ha explotado vulnerabilidades en WordPress y switches ZyXEL, afectando a casi 1,000 dispositivos y robando más de 18,500 registros sensibles. Los ataques, detectados por GreyNoise, impactaron a organizaciones gubernamentales en diversos países, incluyendo una entidad occidental y una rusa. El atacante utilizó múltiples exploits conocidos y técnicas avanzadas para evadir la seguridad y extraer datos personales y credenciales.

Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

WordPress ha lanzado la versión 7.1.2 para solucionar una vulnerabilidad de seguridad crítica (CVE-2026-87902) que permitiría a atacantes no autenticados ejecutar código en sitios web vulnerables bajo ciertas condiciones. Se recomienda a los administradores actualizar inmediatamente, ya que el fallo no requiere que el atacante haya iniciado sesión ni posea una cuenta válida.

Un presunto actor de amenazas de habla china ha vulnerado al menos 49 organizaciones en 29 países aprovechando fallos de seguridad en WordPress. Mediante la explotación de la cadena wp2shell (específicamente los CVE-2026-63030 y CVE-2026-60137), los atacantes utilizaron sitios web comprometidos como plataforma para el robo de bases de datos, el abuso de credenciales y la intrusión en redes más amplias, logrando sustraer 18,566 registros gubernamentales y contraseñas en texto plano.

WordPress lanzó la versión 7.1.1 para corregir Click2Shell, una vulnerabilidad que permitía instalar temas automáticamente si un administrador abría un enlace malicioso. Aunque la falla solo instala temas oficiales, pwn.ai demostró que podría combinarse con debilidades de temas específicos para ejecutar código remoto. Se recomienda actualizar inmediatamente, ya que no existen soluciones alternativas y el riesgo es crítico.

Se ha detectado una vulnerabilidad de alta severidad (CVE-2026-78175) en el plugin Tutor LMS de WordPress, que afecta a más de 100,000 sitios web. Este fallo, con una puntuación de 8.8 sobre 10, podría permitir que un usuario con bajos privilegios tome el control total del servidor afectado, especialmente en instalaciones donde los visitantes pueden registrarse como estudiantes.

Un ataque de compromiso de la cadena de suministro afectó a Brevo, convirtiendo sus herramientas web en un canal de distribución de malware. Los atacantes insertaron JavaScript malicioso en los servicios que cargan los sitios de sus clientes, exponiendo a visitantes y administradores de WordPress. Se estima que esta actividad alcanzó a más de 100,000 sitios web el pasado 14 de septiembre.