Publicado en

Alerta de Seguridad: Vulnerabilidad Crítica en WordPress (CVE-2026-87902) bajo Ataque Activo

•Publicado enVulnerabilidades

Una amenaza inminente para el ecosistema WordPress

El equipo de seguridad de WordPress ha emitido una alerta urgente tras la detección de ataques activos que explotan una vulnerabilidad crítica, identificada como CVE-2026-87902. Con una puntuación CVSS de 9.2, este fallo permite la ejecución remota de código (RCE) por parte de atacantes no autenticados, lo que en términos empresariales significa que un tercero podría tomar el control total de un servidor web sin necesidad de credenciales.

Lo más alarmante de este incidente es la velocidad de respuesta de los cibercriminales: los primeros intentos de explotación fueron registrados apenas unas horas después de que la vulnerabilidad fuera divulgada públicamente y se liberaran los parches de seguridad.

Análisis técnico: ¿Cómo funciona el exploit?

La vulnerabilidad reside en la función get_page_template() de WordPress. En condiciones específicas, un atacante puede manipular la resolución de plantillas de página para incluir archivos PHP locales que se encuentren fuera de los directorios del tema activo.

Para que el ataque tenga éxito, deben cumplirse dos condiciones principales en el servidor:

  • Que el tema activo (padre o hijo) contenga un directorio de nivel superior cuyo nombre comience con page- (por ejemplo, page-templates).
  • Que exista un archivo PHP local legible por el servidor web, como el conocido pearcmd.php, que los atacantes utilizan para escribir scripts maliciosos en directorios temporales (/tmp o /var/tmp).

Actividad observada en el mundo real

Empresas de ciberseguridad como Patchstack y Previdian han reportado una oleada de solicitudes maliciosas provenientes de diversas direcciones IP globales. Los atacantes están intentando subir «web-shells» (scripts de control remoto) alojados en repositorios públicos como GitHub para consolidar su acceso a los sistemas comprometidos.

Aunque WordPress cuenta con actualizaciones automáticas habilitadas por defecto para parches de seguridad menores, la sofisticación y rapidez de estos ataques subraya la importancia de no depender exclusivamente de los procesos automatizados y realizar una verificación manual proactiva.

Recomendaciones de Intedya para empresas

Desde el área de Ciberseguridad de Intedya, instamos a todos los administradores de sistemas y responsables de IT a tomar las siguientes medidas de inmediato:

  1. Actualización inmediata: Verifique que su instalación de WordPress esté en la versión 7.1.2. Si utiliza versiones anteriores con soporte extendido, asegúrese de haber actualizado a las versiones 7.0.6, 6.9.9 o 6.8.10 según corresponda.
  2. Auditoría de archivos temporales: Revise los directorios /tmp y /var/tmp en busca de archivos sospechosos con nombres como wp-pear-rce-flag.php o patrones aleatorios (ej. luci_*.php).
  3. Revisión de logs: Analice los registros de acceso de su servidor web en busca de solicitudes inusuales que involucren la cadena pearcmd.php.
  4. Fortalecimiento del WAF: Si utiliza un Firewall de Aplicaciones Web (WAF), asegúrese de que las reglas contra la inclusión de archivos locales (LFI) estén activas y actualizadas.

La seguridad de su presencia digital es fundamental para la continuidad del negocio. La prevención y la respuesta rápida ante vulnerabilidades de día cero son los pilares de una infraestructura resiliente.

Fuentes