Publicado en

Vulnerabilidad Crítica «wp2shell» en WordPress Core: Guía de Actuación Inmediata

•Publicado enVulnerabilidades

Alerta de Seguridad: Vulnerabilidades Críticas en WordPress Core permiten RCE sin autenticación

La comunidad de ciberseguridad ha emitido una alerta urgente tras la publicación de exploits públicos para una cadena de vulnerabilidades críticas en el núcleo de WordPress, denominadas colectivamente como «wp2shell». Estas fallas permiten a atacantes remotos ejecutar código malicioso en servidores vulnerables sin necesidad de contar con credenciales de acceso.

¿Qué es el ataque «wp2shell»?

El ataque se basa en el encadenamiento de dos vulnerabilidades distintas que, al ser explotadas de forma conjunta, otorgan el control total del sitio web. Este hallazgo, realizado por Searchlight Cyber, afecta a instalaciones estándar de WordPress, incluso aquellas que no utilizan plugins adicionales.

Las vulnerabilidades implicadas son:

  • CVE-2026-63030: Una falla de confusión de rutas en la API REST (Batch-route confusion) introducida en la versión 6.9.
  • CVE-2026-60137: Una vulnerabilidad de inyección SQL de alta severidad en el parámetro author__not_in de WP_Query, que afecta a las versiones 6.8 y superiores.

Impacto y Riesgo Empresarial

Dada la enorme base de usuarios de WordPress (estimada en más de 500 millones de sitios), el impacto potencial es masivo. Al tratarse de una vulnerabilidad de Ejecución Remota de Código (RCE) pre-autenticación, cualquier usuario anónimo en internet podría, en teoría, tomar el control del servidor, extraer hashes de contraseñas, instalar plugins maliciosos o comprometer la integridad de los datos corporativos.

Firmas de seguridad como watchTowr ya han reportado intentos de explotación activa en el entorno real tras la liberación de las pruebas de concepto (PoC) en GitHub.

Versiones Afectadas

La cadena completa de RCE afecta específicamente a las siguientes versiones:

  • WordPress 6.9.0 hasta 6.9.4
  • WordPress 7.0.0 hasta 7.0.1

Nota: Aunque la inyección SQL también afecta a la rama 6.8.x, no puede derivar en RCE al carecer de la falla en la API REST.

Recomendaciones de Seguridad de Intedya

Desde el departamento de ciberseguridad de Intedya, instamos a los administradores de sistemas y propietarios de negocios a tomar las siguientes medidas de forma inmediata:

  1. Actualización Urgente: Actualice su instalación de WordPress a las versiones 7.0.2 o 6.9.5. El equipo de seguridad de WordPress ha habilitado actualizaciones automáticas forzadas para mitigar el riesgo, pero se recomienda la verificación manual.
  2. Configuración de WAF: Si utiliza servicios como Cloudflare, asegúrese de que las reglas de protección específicas para CVE-2026-63030 y CVE-2026-60137 estén activas.
  3. Mitigación Temporal: Si no puede actualizar de inmediato, considere bloquear el acceso anónimo a la API REST o restringir los endpoints /wp-json/batch/v1 y ?rest_route=/batch/v1 a nivel de firewall de aplicaciones web (WAF).
  4. Escaneo de Vulnerabilidades: Utilice herramientas oficiales o servicios especializados para comprobar si su sitio ha sido comprometido o si aún presenta la vulnerabilidad.

La ciberseguridad proactiva es fundamental para proteger la continuidad de su negocio. No posponga estas actualizaciones críticas; el tiempo de respuesta es vital ante la disponibilidad de exploits públicos.

Fuentes