Publicado en

Vulnerabilidad Crítica en WordPress: El Fallo XSS que Amenaza con Ejecución de Código Remoto

•Publicado enVulnerabilidades

WordPress corrige una vulnerabilidad de alta severidad que afecta a casi todas las versiones del CMS

El ecosistema de WordPress se encuentra en alerta tras el descubrimiento y posterior corrección de una vulnerabilidad crítica de Cross-Site Scripting (XSS) reflejado en su pantalla de inicio de sesión. Este fallo, identificado como CVE-2026-64638, ha obtenido una puntuación de severidad CVSS de 8.9, lo que lo sitúa como una amenaza de alto riesgo para millones de sitios web en todo el mundo.

¿En qué consiste el fallo CVE-2026-64638?

La vulnerabilidad es de tipo ‘pre-autenticación’, lo que significa que un atacante no necesita tener credenciales ni privilegios en el sitio objetivo para explotarla. El problema reside en la forma en que WordPress procesa los nombres de usuario en los intentos de inicio de sesión fallidos. Debido a una discrepancia entre los filtros de limpieza de datos (específicamente entre strip_tags() de PHP y el procesador HTML de WordPress), un atacante puede inyectar scripts maliciosos que se ejecutan automáticamente en el navegador del visitante.

De un simple script a la toma de control total (RCE)

Lo más preocupante de este hallazgo, denominado por los investigadores de pwn.ai como XSS2Shell, es que el fallo puede encadenarse para lograr la Ejecución de Código Remoto (RCE). Aunque el escalamiento a RCE requiere que un administrador con la sesión iniciada interactúe con una página controlada por el atacante (mediante ingeniería social), las consecuencias son devastadoras:

  • Acceso total al servidor: Ejecución de comandos con privilegios del sistema.
  • Robo de datos: Exposición de credenciales de la base de datos en wp-config.php.
  • Persistencia: Creación de cuentas de administrador ocultas y modificación de contenido.
  • Infección de archivos: Carga de plugins maliciosos o archivos ZIP arbitrarios.

Versiones afectadas y solución inmediata

Este fallo afecta a prácticamente todas las versiones de WordPress. El equipo de seguridad del proyecto lanzó el parche oficial el pasado 6 de agosto. Las versiones seguras son:

  • WordPress 7.0.3 (versión principal).
  • Versiones anteriores parcheadas (backports) desde la rama 4.7 en adelante.

Es importante notar que las versiones anteriores a la 4.7 permanecen vulnerables y ya no reciben actualizaciones de seguridad oficiales, por lo que se recomienda encarecidamente la migración a una versión soportada.

Recomendaciones para empresas

Desde el departamento de ciberseguridad de Intedya, instamos a todos los administradores de sistemas y propietarios de negocios que utilicen WordPress a seguir estos pasos:

  1. Actualizar inmediatamente: Si su sitio no tiene activadas las actualizaciones automáticas de seguridad, proceda a actualizar manualmente a la versión 7.0.3.
  2. Verificar la integridad: Revisar los registros de acceso en busca de intentos de inicio de sesión inusuales o cargas de archivos sospechosos.
  3. Reforzar la seguridad: Implementar medidas de endurecimiento (hardening) y mantener una política estricta de actualizaciones para todos los plugins y temas.

La rapidez en la respuesta es fundamental para mitigar el riesgo de explotación activa de esta vulnerabilidad.

Fuentes