[DTT Alerta de seguridad] Vulnerabilidad crítica en Elementor Pro permite ejecutar código mediante formularios

Identificador: DTT-AS-2026-005
Fecha: 27 de agosto de 2026
Emisor: Laboratorio de Desarrollo y Transferencia de Tecnología (DTT) – UCB Sede Tarija
Nivel de alerta: Crítico
Dirigido a: Administradores de sitios WordPress que utilizan Elementor Pro, agencias web, proveedores de hosting e instituciones

Se ha documentado una vulnerabilidad crítica en Elementor Pro, el constructor de páginas más utilizado en WordPress, identificada como CVE‑2026‑32475 (CVSS 3.1: 9,0). La falla está en el campo «Subida de archivo» del módulo de Formularios y permite que un atacante, sin autenticarse y sin interacción de ningún usuario, suba un archivo PHP al servidor y lo ejecute, obteniendo así ejecución remota de código.

Basta con que el sitio tenga publicado un formulario de Elementor con un campo de subida de archivos, una configuración habitual en formularios de postulación, contacto con adjuntos o recepción de documentos. La corrección está disponible en Elementor Pro 4.2.2. Hasta la fecha no se ha reportado explotación activa, pero los detalles técnicos ya son públicos.

Versiones afectadas

Plugin	Versiones afectadas	Versión corregida
Elementor Pro	Hasta 4.2.1 inclusive	4.2.2 o superior

Condición necesaria: un formulario publicado de Elementor Pro con un campo de subida de archivos. Patchstack indica que esto es suficiente; Elementor, en cambio, afirma que solo están en riesgo los sitios con la opción de subida múltiple habilitada, que viene desactivada por defecto. Ante la discrepancia, se recomienda actualizar en todos los casos.

Indicadores de posible compromiso

Archivos .php, .phtml o .phar en wp-content/uploads/elementor/forms/ o en otros directorios de subida.
Peticiones POST multipart sin autenticar a formularios de Elementor, seguidas de peticiones GET a archivos recién creados.
Usuarios administradores inesperados o cambios en archivos del núcleo de WordPress.
Conexiones salientes del proceso PHP hacia destinos desconocidos.
Nuevas tareas programadas (wp-cron) que nadie configuró.

Riesgos

Una explotación exitosa puede permitir:

Ejecutar código arbitrario en el servidor con los permisos del servidor web.
Leer wp-config.php y acceder a la base de datos del sitio.
Robar los archivos y datos personales recibidos a través de los formularios.
Instalar puertas traseras persistentes y crear administradores.
Comprometer otros sitios alojados en el mismo servidor o cuenta de hosting.

Recomendaciones

Actualizar Elementor Pro a 4.2.2 o superior en todos los sitios.
Revisar wp-content/uploads/elementor/forms/ en busca de archivos PHP u otros ejecutables. La actualización no elimina archivos maliciosos subidos antes del parche.
Si hay sospechas, tratar el sitio como comprometido: rotar credenciales de WordPress, base de datos, FTP/SSH y claves API, revisar administradores no reconocidos y analizar los registros en busca de POST inusuales a formularios de Elementor.
Impedir la ejecución de PHP en wp-content/uploads/ mediante reglas de Apache, Nginx o WAF, como defensa en profundidad.
Mantener un WAF o CDN con reglas de parcheo virtual mientras se completa la actualización en todos los sitios.

Comandos de verificación

# Versión de Elementor Pro instalada (WP-CLI)
wp plugin get elementor-pro --field=version

# Buscar archivos ejecutables en la carpeta de formularios
find wp-content/uploads/elementor/forms/ -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \)

# Buscar cualquier PHP en uploads
find wp-content/uploads -type f -name "*.php"

Ejemplo: bloquear PHP en uploads

Apache (archivo .htaccess dentro de wp-content/uploads/):

<FilesMatch "\.(php|phtml|phar)$">
    Require all denied
</FilesMatch>

Nginx:

location ~* /wp-content/uploads/.*\.(php|phtml|phar)$ {
    deny all;
}

Detalles técnicos

CVE‑2026‑32475 — Subida sin restricciones de archivos peligrosos (CWE‑434)

En el manejador de subidas de Elementor Pro, la comprobación de la extensión y el movimiento del archivo se ejecutan en dos bucles distintos que tratan de forma diferente las entradas de archivo vacías (partes con nombre en blanco, que PHP reporta como UPLOAD_ERR_NO_FILE).

Un atacante envía una petición multipart cuya primera parte tiene un nombre vacío, seguida de un archivo PHP malicioso. El validador se detiene en la primera parte, mientras el procesador continúa y mueve el PHP a wp-content/uploads/elementor/forms/. El nombre final se genera con uniqid(), que depende de la hora y no es aleatorio, por lo que puede adivinarse; en algunas configuraciones la URL exacta incluso aparece en el correo de respuesta automática. Al solicitar el archivo, el servidor lo ejecuta.

Dato	Valor
CVE	CVE‑2026‑32475
Tipo	CWE‑434, subida sin restricciones de archivos peligrosos
CVSS 3.1	9,0 (Crítica) — AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Autenticación	No requerida
Descubrimiento	Tin Pham, reportado mediante Patchstack
Explotación activa	No observada; no figura en el catálogo KEV de CISA

Cronología

16 de julio de 2026: Patchstack recibe el reporte y lo comparte con Elementor.
17 de julio de 2026: Elementor prepara la corrección.
3 de agosto de 2026: Patchstack verifica el parche.
19 de agosto de 2026: se publican Elementor Pro 4.2.2 y el registro CVE.
20 de agosto de 2026: difusión pública de los detalles técnicos.

En resumen

Confirmado

CVE‑2026‑32475 es una vulnerabilidad crítica (CVSS 9,0) en el módulo de subida de archivos de Elementor Pro.
Permite ejecución remota de código sin autenticación.
Está corregida en Elementor Pro 4.2.2.
Actualizar no elimina archivos maliciosos subidos antes del parche.

No confirmado

Explotación activa en ataques reales.
Si basta cualquier campo de subida o solo la subida múltiple: Patchstack y Elementor difieren.
El número de sitios afectados en Bolivia.

Articulo UCB