Publicado en

WordPress «Comment2Shell»: De un comentario anónimo al control total del servidor

•Publicado enVulnerabilidades

Una vulnerabilidad crítica en el núcleo de WordPress pone en riesgo a millones de sitios

Recientemente se ha dado a conocer una vulnerabilidad crítica en el núcleo de WordPress, identificada como CVE-2026-93485 y apodada «Comment2Shell». Este fallo permite que un visitante anónimo, sin necesidad de credenciales, inyecte scripts maliciosos a través de los comentarios que, bajo ciertas condiciones, pueden escalar hasta la ejecución remota de código (RCE) y el compromiso total del servidor.

¿Cómo funciona el ataque Comment2Shell?

El problema reside en una discrepancia en cómo WordPress procesa el HTML de los comentarios entre el momento en que se guardan y el momento en que se muestran en pantalla. El investigador Rafie Muhammad descubrió que al insertar un salto de línea dentro de un atributo de una etiqueta HTML permitida, el sistema de formateo de WordPress rompe la estructura de la etiqueta al renderizarla.

Esto permite que un texto aparentemente inofensivo se convierta en un manejador de eventos (event handler) activo en el navegador del usuario. Lo más peligroso es que este script se ejecuta automáticamente al cargar la página, sin necesidad de que el usuario haga clic en ningún enlace.

El camino hacia el RCE: La sesión del administrador

Aunque el script se ejecuta en el navegador de cualquier visitante, el verdadero peligro ocurre cuando un administrador con la sesión iniciada visualiza la página que contiene el comentario malicioso. En este escenario, el script actúa con los privilegios del administrador para:

  • Realizar acciones en segundo plano sin el conocimiento del usuario.
  • Cargar y activar un plugin malicioso que contenga una web shell.
  • Tomar el control total del servidor web a través de dicha shell.

Factores de riesgo y mitigación

WordPress ha señalado que la vulnerabilidad es explotable principalmente si los comentarios están configurados para publicarse automáticamente. Sin embargo, expertos de seguridad advierten que la moderación manual no debe considerarse un control de seguridad definitivo, ya que un administrador podría ejecutar el código malicioso accidentalmente mientras intenta revisar o borrar el comentario en el panel de control.

Pasos urgentes para proteger su sitio corporativo:

  • Actualizar inmediatamente: WordPress ha lanzado la versión 7.1.1 que corrige este fallo. También se han publicado parches para versiones anteriores (desde la 4.7).
  • Revisar plugins desconocidos: Si sospecha que su sitio pudo haber sido un objetivo, verifique la lista de plugins instalados en busca de elementos sospechosos o archivos que no reconozca.
  • Implementar un WAF: Un Firewall de Aplicaciones Web puede ayudar a filtrar comentarios que contengan payloads de XSS conocidos.
  • Desactivar comentarios: Si su sitio corporativo no requiere interacción en los posts, considere desactivar los comentarios por completo para reducir la superficie de ataque.

En Intedya, recordamos a las organizaciones que mantener el software actualizado es el pilar fundamental de una estrategia de ciberseguridad sólida. Un CMS desactualizado es una puerta abierta para actores malintencionados.

Fuentes