Usuarios de WordPress deben actualizar sus sitios inmediatamente debido a dos vulnerabilidades que, combinadas, permiten la ejecución remota de código sin autenticación. Los atacantes han empezado a explotar estos fallos rápidamente, posiblemente con ayuda de IA, afectando a diversas versiones del sistema. Se recomienda revisar las instancias en busca de cuentas de administrador nuevas o plugins maliciosos, incluso después de parchear.

Atacantes están explotando dos vulnerabilidades críticas en WordPress, conocidas como wp2shell, que permiten la ejecución remota de código sin autenticación. Este fallo afecta a versiones lanzadas desde diciembre de 2025 y permite comprometer sitios web mediante la inyección de SQL y la carga de plugins maliciosos. Se recomienda a los administradores actualizar sus sistemas y revisar la existencia de cuentas o archivos sospechosos.

Se ha descubierto una vulnerabilidad de seguridad crítica en el plugin WordPress OAuth Single Sign-On (SSO (OAuth Client) desarrollado por miniOrange. Este fallo, identificado como CVE-2026-57807 y con una puntuación de gravedad de 9.8, permite que atacantes remotos no autenticados tomen el control total de millones de sitios web de WordPress. La vulnerabilidad fue revelada por Patchstack el 9 de julio de 2026.

Un estudio reciente ha revelado que más del 70% de los sitios web de WordPress accesibles al público utilizan versiones obsoletas de PHP, lo que aumenta considerablemente su vulnerabilidad ante ciberataques. Este hallazgo evidencia una brecha de seguridad creciente en el ecosistema web global, donde millones de sitios dependen de tecnologías backend antiguas a pesar de existir actualizaciones de seguridad regulares.