WordPress lanzó la versión 7.1.1 para corregir Click2Shell, una vulnerabilidad que permitía instalar temas automáticamente si un administrador abría un enlace malicioso. Aunque la falla solo instala temas oficiales, pwn.ai demostró que podría combinarse con debilidades de temas específicos para ejecutar código remoto. Se recomienda actualizar inmediatamente, ya que no existen soluciones alternativas y el riesgo es crítico.

Se ha detectado una vulnerabilidad de alta severidad (CVE-2026-78175) en el plugin Tutor LMS de WordPress, que afecta a más de 100,000 sitios web. Este fallo, con una puntuación de 8.8 sobre 10, podría permitir que un usuario con bajos privilegios tome el control total del servidor afectado, especialmente en instalaciones donde los visitantes pueden registrarse como estudiantes.

Un ataque de compromiso de la cadena de suministro afectó a Brevo, convirtiendo sus herramientas web en un canal de distribución de malware. Los atacantes insertaron JavaScript malicioso en los servicios que cargan los sitios de sus clientes, exponiendo a visitantes y administradores de WordPress. Se estima que esta actividad alcanzó a más de 100,000 sitios web el pasado 14 de septiembre.

Se insta a los administradores de WordPress a actualizar sus sistemas tras el descubrimiento de Click2Shell, una cadena de exploits que permite lograr la ejecución remota de código (RCE) en sitios vulnerables mediante un solo enlace malicioso. El ataque comienza aprovechando una debilidad en la vista previa de temas del núcleo de WordPress para instalar un tema seleccionado por el atacante desde el directorio oficial, lo que posteriormente puede derivar en el compromiso total del servidor.

WordPress ha lanzado la versión 7.1.1, una actualización de seguridad y mantenimiento que corrige 11 vulnerabilidades. Se insta a los administradores de sitios web a instalarla inmediatamente para mitigar riesgos de cross-site scripting, omisión de autorización, divulgación de información, salto de directorio y manipulación de contenido.

Atacantes están explotando activamente una falla crítica en la extensión de WooCommerce Wholesale Lead Capture para tomar el control de sitios de WordPress sin necesidad de usuario ni contraseña. La vulnerabilidad, identificada como CVE-2026-27540 y con una puntuación de severidad de 9.8, permite transformar una función rutinaria de subida de archivos en un acceso directo al servidor.

Se han descubierto dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar, que afectan a más de 600,000 instalaciones activas. Estos fallos, detectados por el equipo de Wordfence, podrían permitir que atacantes no autenticados tomen el control total de los sitios web vulnerables mediante la ejecución remota de código, el restablecimiento de contraseñas de administrador y el despliegue de malware, comprometiendo así el servidor por completo.

WordPress implementará revisiones de seguridad automatizadas mediante IA para cada actualización de plugins y temas antes de su distribución. El sistema asignará un puntaje de riesgo y bloqueará automáticamente aquellas versiones que presenten vulnerabilidades o código malicioso. Los desarrolladores deberán corregir los fallos detectados para que sus actualizaciones puedan ser publicadas.

WordPress ha implementado una revisión de seguridad automatizada basada en IA que analiza cada versión de los plugins antes de que lleguen a la API de actualizaciones de WordPress.org. Esta medida añade un punto de control crítico al proceso de distribución, implementándose tras un incidente donde se introdujo una puerta trasera (backdoor) en la actualización de un plugin con aproximadamente 20,000 usuarios.

Se ha detectado la explotación activa de una vulnerabilidad crítica (CVE-2026-32475) en el plugin Elementor Pro de WordPress, que permite a atacantes subir archivos PHP maliciosos para ejecutar comandos remotos. El fallo afecta a versiones 4.2.1 y anteriores, aprovechando una validación incorrecta en los formularios de carga de archivos. Se recomienda actualizar inmediatamente a la versión 4.2.2 e inspeccionar el servidor en busca de archivos sospechosos.

Se ha detectado una vulnerabilidad de inyección SQL grave (CVE-2026-19949) en el plugin *All-in-One WP Migration and Backup* de WordPress, que afecta a millones de sitios. Un atacante podría ejecutar código remoto y tomar control total del sitio una vez que el administrador realice una restauración de respaldo. El problema ya fue corregido en la versión 7.110, por lo que se recomienda actualizar urgentemente.

Se ha detectado una vulnerabilidad de alta gravedad (CVE-2026-19949) en el plugin All-in-One WP Migration and Backup de WordPress, la cual podría permitir que atacantes no autenticados tomen el control de los sitios afectados. Este fallo, que impacta a más de 5 millones de instalaciones activas, ya ha sido corregido en la versión 7.110.

WordPress ha lanzado una nueva iniciativa de seguridad que utiliza inteligencia artificial para identificar vulnerabilidades en su software principal antes de que los atacantes puedan aprovecharlas. Esta medida responde al incremento de reportes de seguridad, impulsado en parte por las rápidas mejoras en las herramientas de IA para el análisis de código y la investigación de fallos.

Se han detectado fallos de seguridad críticos en varios complementos y temas de WordPress, incluyendo Avada, GiveWP y TranslatePress. Estas vulnerabilidades podrían permitir a atacantes no autenticados tomar el control total de los sitios, saltar la autenticación o ejecutar código remoto. Se recomienda actualizar los plugins afectados para mitigar estos riesgos graves.

Se ha detectado una vulnerabilidad crítica (CVE-2026-82222) en el plugin GiveWP de WordPress que permite a atacantes ejecutar comandos remotos en el servidor. El fallo permite crear cuentas no autorizadas y procesar donaciones maliciosas para inyectar código. Se insta a los administradores a actualizar urgentemente a la versión 4.16.7.2 para solucionar el problema.

Se ha detectado una vulnerabilidad crítica (CVE-2026-19632) en el plugin de WordPress TranslatePress, que afecta a más de 400,000 sitios web. Este fallo permitía que atacantes no autenticados secuestraran cuentas de administrador y comprometieran totalmente las webs afectadas. El problema impacta a las versiones hasta la 3.3.1 y ya ha sido solucionado en la versión 3.3.2.

Se han detectado dos vulnerabilidades graves de omisión de autenticación en el plugin miniOrange SAML 2.0 de WordPress. Estas fallas permiten que atacantes no autenticados inicien sesión como cualquier usuario, incluidos los administradores, mediante respuestas SAML manipuladas. Se recomienda actualizar el plugin a las versiones más recientes para evitar que actores malintencionados tomen el control de los sitios afectados.

Están explotando dos vulnerabilidades críticas en el plugin miniOrange SAML SSO de WordPress que permiten saltar la autenticación y acceder como administradores. Aunque ya existen parches desde julio, muchos usuarios de versiones de pago no fueron notificados, dejando sus sitios expuestos. Se recomienda actualizar manualmente a las versiones corregidas para evitar el acceso no autorizado.

Se ha detectado una vulnerabilidad crítica (CVE-2026-19598) en el plugin Everest Forms de WordPress, que afecta a más de 100,000 sitios web. Con una puntuación de gravedad de 9.8, este fallo permite que atacantes no autenticados suban archivos maliciosos y ejecuten código de forma remota, lo que podría resultar en el control total de los sitios afectados.

Se detectaron fallos críticos en los plugins Forminator Forms y User Profile Builder de WordPress que permiten la ejecución remota de código y el acceso no autorizado como administrador. Ambos errores, con una calificación de gravedad de 9.8, podrían comprometer totalmente los sitios afectados. Se recomienda a los propietarios actualizar inmediatamente a las versiones 1.56.2 y 3.16.5 respectivamente.