Días complejos han vivido los usuarios de WordPress, quienes han visto actualizaciones para corregir vulnerabilidades de seguridad conocidas como «WP2Shell», una cadena de fallas que comenzó a ser explotada por atacantes poco después de hacerse pública.
Investigadores y empresas de ciberseguridad confirmaron intentos de ataque en contra los sitios que permanecen vulnerables por no actualizarlos, mientras crecen las advertencias para instalar las versiones corregidas cuanto antes.
En detalle, estas vulnerabilidades corresponden a CVE-2026-60137 y CVE-2026-63030, descubiertas por Adam Kues, de Searchlight Cyber. Por separado presentan un riesgo limitado, pero combinadas permiten ejecutar código de forma remota sin autenticación, lo que abre la puerta al control total de sitios que ejecutan versiones vulnerables de WordPress.
WP2Shell en explotación activa
Searchlight Cyber informó que esta cadena de ataque no necesita complementos (plugins) ni configuraciones especiales y puede explotarse sobre una instalación estándar de WordPress. La compañía decidió retrasar la publicación de los detalles técnicos para dar tiempo a los administradores a aplicar los parches, aunque códigos de prueba (PoC) aparecieron públicamente poco después, acelerando los intentos de explotación.
Diversas firmas de seguridad confirmaron actividad maliciosa tras la divulgación de las fallas. Patchstack, watchTowr, Hexastrike y otras empresas detectaron ataques contra sitios vulnerables, mientras VulnCheck verificó la existencia de más de dos decenas de pruebas de concepto distintas dirigidas a WP2Shell.
Según watchTowr, las primeras explotaciones exitosas comenzaron durante la madrugada del sábado, apenas horas después de la publicación de los parches. Inicialmente, los atacantes utilizaron código público para extraer credenciales cifradas y posteriormente avanzaron hacia la ejecución remota de código cuando se conocieron más detalles técnicos.
La misma firma indicó que sus honeypots registraron decenas de miles de intentos de explotación y la creación de más de un centenar de cuentas administrativas traseras por parte de distintos actores. En algunos casos, los atacantes instalaron complementos maliciosos para mantener acceso persistente, extraer credenciales o descargar herramientas adicionales.
Versiones afectadas y medidas para reducir el riesgo
La cadena completa de WP2Shell afecta a WordPress 6.9.0 hasta 6.9.4 y 7.0.0 hasta 7.0.1, mientras que la vulnerabilidad SQL Injection (CVE-2026-60137) también impacta a 6.8, aunque en esas versiones no puede combinarse con la segunda falla para lograr ejecución remota de código.
WordPress publicó las correcciones en las versiones 6.9.5 y 7.0.2 y, debido a la gravedad del problema, habilitó actualizaciones automáticas forzadas para las instalaciones compatibles. Además, Cloudflare desplegó reglas de su firewall de aplicaciones web (WAF) para bloquear intentos de explotación, aunque tanto la compañía como los investigadores recalcaron que esas protecciones no reemplazan la instalación de los parches.
Searchlight Cyber también recomendó, como medida temporal para quienes no puedan actualizar de inmediato, bloquear el acceso anónimo a la API REST o restringir las rutas específicas utilizadas por el ataque, insistiendo en que esas mitigaciones solo deben utilizarse hasta completar la actualización.
