Julio ha sido un mes movido para quien gestiona WordPress. No hablamos de un plugin más con una vulnerabilidad más: hablamos del núcleo de WordPress, y de una cadena de fallos que permitía a cualquiera, sin usuario ni contraseña, tomar el control total de una web.
Lo que ha pasado este julio en cifras
El 17 de julio, el equipo de seguridad de WordPress publicó una actualización de emergencia para corregir dos vulnerabilidades encadenables en el núcleo, conocidas como wp2shell. Dado lo grave del asunto, WordPress.org activó actualizaciones forzosas automáticas para todas las instalaciones afectadas, algo que solo ocurre en casos excepcionales.
La reacción de los atacantes fue casi inmediata. En los días siguientes al parche, Patchstack detectó más de 65.000 intentos de explotación desde más de 1.500 direcciones IP distintas, y varias firmas de seguridad confirmaron ataques reales en sitios sin actualizar.
Vulnerabilidades destacadas del mes
- wp2shell en el núcleo de WordPress (CVE-2026-63030 y CVE-2026-60137): una confusión en el endpoint REST de peticiones en lote se combina con una inyección SQL para crear una cuenta de administrador sin autenticación. Afecta a WordPress 6.9.0-6.9.4 y 7.0.0-7.0.1. Solucionado en las versiones 6.9.5 y 7.0.2. Si tu web sigue en una versión anterior, actualiza hoy mismo, no mañana.
- Kirki – Freeform Page Builder (CVE-2026-57727): un fallo de control de acceso en versiones hasta la 6.1.1, todavía sin parche oficial según Patchstack. Si usas este plugin, es buen momento para desactivarlo hasta que el desarrollador publique una solución.
Qué puedes hacer hoy mismo
- Comprueba la versión de WordPress de tu web y actualiza a 7.0.2 o 6.9.5 si aún no lo has hecho.
- Si usas Kirki, valora desactivarlo temporalmente hasta que salga un parche oficial.
- Revisa tu lista de usuarios administradores: busca cuentas que no reconozcas o que no hayas creado tú.
- Activa las actualizaciones automáticas de núcleo, plugins y temas siempre que puedas.
- Si gestionas varias webs, no confíes en la memoria: automatiza la revisión de versiones.
En BlindajeWeb revisamos esto por ti cada mes, para que un fallo en el núcleo no se convierta en una llamada de madrugada. Habla con nosotros y quítate esta preocupación de encima.
