Publicado en

Alerta de Seguridad: Vulnerabilidades RCE en ‘The Events Calendar’ amenazan a miles de sitios WordPress

•Publicado enVulnerabilidades

El riesgo de la ejecución remota de código (RCE) en entornos corporativos

La seguridad en los sistemas de gestión de contenidos (CMS) como WordPress es un pilar fundamental para la continuidad de negocio. Recientemente, se han descubierto dos vulnerabilidades de severidad crítica en el popular plugin The Events Calendar, que cuenta con más de 600,000 instalaciones activas. Estos fallos podrían permitir a atacantes no autenticados ejecutar código de forma remota (RCE), lo que en términos empresariales se traduce en la toma total del control del sitio web.

Análisis Técnico: CVE-2026-78159 y CVE-2026-78006

Expertos en ciberseguridad de la firma Defiant han identificado dos cadenas de explotación independientes, ambas con una puntuación CVSS de 9.8, lo que las sitúa en el rango de peligrosidad máxima:

  • CVE-2026-78159: Se trata de una inyección de código causada por una validación insuficiente de los datos de entrada. Un atacante puede inyectar una carga útil (payload) que se ejecuta durante el procesamiento del HTML de eventos individuales, afectando incluso a las áreas de comentarios.
  • CVE-2026-78006: Este fallo se basa en la inyección de objetos PHP. La vulnerabilidad reside en funciones del plugin que no cuentan con protecciones adecuadas, permitiendo que el código inyectado se procese antes de que actúen los sistemas de moderación de comentarios.

Aunque son vulnerabilidades distintas, el resultado es el mismo: la posibilidad de que un actor externo tome el control del servidor, acceda a bases de datos o despliegue malware sin necesidad de credenciales previas.

Impacto en la Continuidad de Negocio

Se estima que aproximadamente 240,000 sitios web utilizan versiones anteriores a la 6.17, lo que los hace vulnerables a ambos fallos. Para las organizaciones, esto representa un riesgo reputacional y operativo crítico. Un compromiso de este tipo puede derivar en el robo de datos de clientes, la alteración de la imagen corporativa o el uso de la infraestructura de la empresa para lanzar ataques a terceros.

Recomendaciones de Intedya

Desde el área de ciberseguridad de Intedya, instamos a los responsables de TI y propietarios de sitios web a tomar las siguientes medidas inmediatas:

  1. Actualización Urgente: Verificar que el plugin ‘The Events Calendar’ esté actualizado a la versión 6.17.4.1 o superior. Los desarrolladores ya han lanzado parches que corrigen ambos fallos.
  2. Revisión de Configuraciones: Dado que la explotación suele requerir que los comentarios estén habilitados, se recomienda revisar la política de interacción en el sitio y desactivar funciones no esenciales.
  3. Auditoría de Plugins: Mantener una política estricta de actualización de complementos y eliminar aquellos que no sean estrictamente necesarios para la operación.

La prevención técnica y la vigilancia constante son las mejores herramientas para mitigar el impacto de estas vulnerabilidades en el ecosistema digital de su organización.

Fuentes