Articulo UCB

Identificador: DTT-AS-2026-004
Fecha: 5 de agosto de 2026
Emisor: Laboratorio de Desarrollo y Transferencia de Tecnología (DTT) – UCB Sede Tarija
Nivel de alerta: Crítico
Dirigido a: Administradores de sitios WordPress, proveedores de hosting, instituciones, empresas y desarrolladores web

Se ha documentado una cadena de vulnerabilidades en el núcleo de WordPress, conocida como «wp2shell», que permite a un atacante remoto, sin autenticarse y sin interacción de ningún usuario, ejecutar código en el servidor y tomar el control completo del sitio. La cadena combina CVE‑2026‑63030 (CVSS 9,8) y CVE‑2026‑60137, y funciona en instalaciones por defecto, sin necesidad de plugins o temas vulnerables.

Es considerada la primera ejecución remota de código crítica y sin autenticación en el núcleo de WordPress en casi una década. Los ataques reales comenzaron a los pocos días de la divulgación, ya existen exploits públicos y la Agencia de Ciberseguridad de Estados Unidos (CISA) incluyó ambas fallas en su catálogo de vulnerabilidades explotadas activamente (KEV). Dado que WordPress es la plataforma más utilizada por sitios institucionales, educativos y comerciales en Bolivia, todo sitio sin actualizar debe considerarse en riesgo.

Versiones afectadas

Rama de WordPress	Vulnerabilidades	Versión corregida
7.0.0 – 7.0.1	CVE‑2026‑63030 y CVE‑2026‑60137	7.0.2
6.9.0 – 6.9.4	CVE‑2026‑63030 y CVE‑2026‑60137	6.9.5
6.8.0 – 6.8.5	Solo CVE‑2026‑60137	6.8.6
7.1 beta1	CVE‑2026‑63030 y CVE‑2026‑60137	7.1 beta2
Anteriores a 6.8	No afectadas por esta cadena	—

WordPress forzó actualizaciones automáticas de seguridad en las instalaciones compatibles. Aun así, los sitios con actualizaciones automáticas desactivadas, con restricciones de escritura en archivos o administrados manualmente pueden seguir vulnerables.

Indicadores de posible compromiso

• Archivos PHP nuevos con nombres aleatorios en wp-content/cache/, que responden con una página 404 falsa.
• Cuentas de administrador de WordPress creadas recientemente que nadie reconoce.
• Plugins desconocidos instalados, en algunos casos webshells disfrazadas de plugins.
• Peticiones en los registros a /wp-json/batch/v1 o con el parámetro rest_route=/batch/v1.
• Peticiones de enumeración de usuarios mediante la API REST.
• Intentos de lectura de wp-config.php a través de admin-ajax.php.

Riesgos

Una explotación exitosa puede permitir:

• Ejecutar comandos arbitrarios en el servidor sin credenciales.
• Crear administradores y tomar el control total del sitio.
• Leer o modificar contenido y bases de datos, incluidos datos de usuarios y clientes.
• Instalar puertas traseras persistentes que sobreviven a la actualización.
• Usar el servidor como plataforma para ataques a terceros, spam o alojamiento de phishing.

Recomendaciones

1. Actualizar WordPress de inmediato a 7.0.2, 6.9.5 o 6.8.6 según la rama, o preferentemente a la última versión estable disponible.
2. Verificar que la actualización automática se haya aplicado en cada sitio; no asumirlo.
3. Inventariar todos los sitios WordPress de la organización, incluidos micrositios, sitios de eventos y entornos de prueba olvidados.
4. Revisar los usuarios con rol de administrador y eliminar las cuentas no reconocidas.
5. Buscar archivos PHP no autorizados, especialmente en wp-content/cache/ y wp-content/uploads/, y revisar los plugins instalados.
6. Si hay indicios de compromiso, tratar el sitio como comprometido: rotar contraseñas de WordPress, base de datos, FTP/SSH y claves API, y restaurar desde una copia limpia si es necesario. Actualizar no elimina puertas traseras ya instaladas.

Comandos de verificación (WP-CLI)

# Versión de WordPress instalada
wp core version

# Verificar la integridad de los archivos del núcleo
wp core verify-checksums

# Listar administradores
wp user list --role=administrator --fields=ID,user_login,user_registered

# Buscar archivos PHP en caché y uploads
find wp-content/cache wp-content/uploads -name "*.php" -mtime -30

# Buscar intentos de explotación en los registros
grep -E "batch/v1" /var/log/apache2/access.log

Medidas temporales si no es posible actualizar de inmediato

• Bloquear en el WAF o servidor web la ruta /wp-json/batch/v1 y las peticiones con rest_route=/batch/v1.
• Restringir el acceso no autenticado a la API REST de WordPress.
• Impedir la ejecución de PHP en wp-content/uploads/ y wp-content/cache/.

Estas medidas reducen la exposición, pero la única solución definitiva es actualizar.

Detalles técnicos

Vulnerabilidades relacionadas

CVE‑2026‑63030 — Desincronización en el procesamiento por lotes de la API REST

El endpoint de procesamiento por lotes de la API REST (/wp-json/batch/v1) valida y ejecuta las peticiones en bucles separados. Esta diferencia permite que una petición pase la validación de una forma y se ejecute de otra, lo que abre el acceso a funciones que no deberían estar disponibles sin autenticación.

CVE‑2026‑60137 — Inyección SQL en author__not_in

Inyección SQL en el núcleo de WordPress a través del parámetro author__not_in. En WordPress 6.8 solo es explotable si un plugin o tema pasa datos no confiables a ese parámetro; en 6.9 y 7.0, encadenada con CVE‑2026‑63030, es explotable en instalaciones por defecto.

Cadena de explotación observada

1. Sondeo — escaneos automatizados desde miles de direcciones IP buscan sitios vulnerables, sin distinguir sector ni tamaño.
2. Inyección SQL — el atacante abusa del endpoint de lotes para alcanzar la inyección en author__not_in.
3. Webshell — se escribe un archivo PHP con nombre aleatorio en wp-content/cache/; el nombre funciona también como contraseña y el archivo devuelve un 404 falso si no se envía el parámetro secreto.
4. Persistencia — se crea un nuevo administrador de WordPress o se suben plugins maliciosos.

Cronología

• Mediados de julio de 2026: SearchLight Cyber divulga la cadena; WordPress publica 7.0.2, 6.9.5 y 6.8.6 y fuerza actualizaciones automáticas.
• 17 de julio de 2026: Wordfence registra los primeros sondeos con patrón de explotación.
• 21 de julio de 2026: se confirma la instalación de webshells en sitios reales; CISA incluye ambos CVE en su catálogo KEV.
• Agosto de 2026: exploits públicos disponibles y escaneo masivo continuo.

En resumen

Confirmado

• CVE‑2026‑63030 y CVE‑2026‑60137 son vulnerabilidades del núcleo de WordPress con corrección oficial.
• Encadenadas permiten ejecución remota de código sin autenticación en instalaciones por defecto de 6.9 y 7.0.
• Hay explotación activa: webshells en wp-content/cache/ y creación de administradores no autorizados.
• CISA incluyó ambas vulnerabilidades en su catálogo KEV.
• Actualizar no elimina puertas traseras instaladas antes del parche.

No confirmado

• El número total de sitios comprometidos a nivel mundial.
• Movimiento lateral o exfiltración de datos más allá del sitio: según Wiz, no se ha observado.
• El número de sitios afectados en Bolivia.

Referencias

• CVE.org — CVE-2026-63030
• Wordfence — wp2shell Aftermath
• BleepingComputer — Critical wp2shell WordPress flaws exploited to install webshells
• Security Affairs — wp2shell exploits
• Trojan Killer — wp2shell added to CISA KEV
• INFORDISA SOC — Vulnerabilidad crítica en WordPress (wp2shell)