Identificador: DTT-AS-2026-004
Fecha: 5 de agosto de 2026
Emisor: Laboratorio de Desarrollo y Transferencia de Tecnología (DTT) – UCB Sede Tarija
Nivel de alerta: Crítico
Dirigido a: Administradores de sitios WordPress, proveedores de hosting, instituciones, empresas y desarrolladores web
Se ha documentado una cadena de vulnerabilidades en el núcleo de WordPress, conocida como «wp2shell», que permite a un atacante remoto, sin autenticarse y sin interacción de ningún usuario, ejecutar código en el servidor y tomar el control completo del sitio. La cadena combina CVE‑2026‑63030 (CVSS 9,8) y CVE‑2026‑60137, y funciona en instalaciones por defecto, sin necesidad de plugins o temas vulnerables.
Es considerada la primera ejecución remota de código crítica y sin autenticación en el núcleo de WordPress en casi una década. Los ataques reales comenzaron a los pocos días de la divulgación, ya existen exploits públicos y la Agencia de Ciberseguridad de Estados Unidos (CISA) incluyó ambas fallas en su catálogo de vulnerabilidades explotadas activamente (KEV). Dado que WordPress es la plataforma más utilizada por sitios institucionales, educativos y comerciales en Bolivia, todo sitio sin actualizar debe considerarse en riesgo.
Versiones afectadas
| Rama de WordPress | Vulnerabilidades | Versión corregida |
|---|---|---|
| 7.0.0 – 7.0.1 | CVE‑2026‑63030 y CVE‑2026‑60137 | 7.0.2 |
| 6.9.0 – 6.9.4 | CVE‑2026‑63030 y CVE‑2026‑60137 | 6.9.5 |
| 6.8.0 – 6.8.5 | Solo CVE‑2026‑60137 | 6.8.6 |
| 7.1 beta1 | CVE‑2026‑63030 y CVE‑2026‑60137 | 7.1 beta2 |
| Anteriores a 6.8 | No afectadas por esta cadena | — |
WordPress forzó actualizaciones automáticas de seguridad en las instalaciones compatibles. Aun así, los sitios con actualizaciones automáticas desactivadas, con restricciones de escritura en archivos o administrados manualmente pueden seguir vulnerables.
Indicadores de posible compromiso
- Archivos PHP nuevos con nombres aleatorios en
wp-content/cache/, que responden con una página 404 falsa. - Cuentas de administrador de WordPress creadas recientemente que nadie reconoce.
- Plugins desconocidos instalados, en algunos casos webshells disfrazadas de plugins.
- Peticiones en los registros a
/wp-json/batch/v1o con el parámetrorest_route=/batch/v1. - Peticiones de enumeración de usuarios mediante la API REST.
- Intentos de lectura de
wp-config.phpa través deadmin-ajax.php.
Riesgos
Una explotación exitosa puede permitir:
- Ejecutar comandos arbitrarios en el servidor sin credenciales.
- Crear administradores y tomar el control total del sitio.
- Leer o modificar contenido y bases de datos, incluidos datos de usuarios y clientes.
- Instalar puertas traseras persistentes que sobreviven a la actualización.
- Usar el servidor como plataforma para ataques a terceros, spam o alojamiento de phishing.
Recomendaciones
- Actualizar WordPress de inmediato a 7.0.2, 6.9.5 o 6.8.6 según la rama, o preferentemente a la última versión estable disponible.
- Verificar que la actualización automática se haya aplicado en cada sitio; no asumirlo.
- Inventariar todos los sitios WordPress de la organización, incluidos micrositios, sitios de eventos y entornos de prueba olvidados.
- Revisar los usuarios con rol de administrador y eliminar las cuentas no reconocidas.
- Buscar archivos PHP no autorizados, especialmente en
wp-content/cache/ywp-content/uploads/, y revisar los plugins instalados. - Si hay indicios de compromiso, tratar el sitio como comprometido: rotar contraseñas de WordPress, base de datos, FTP/SSH y claves API, y restaurar desde una copia limpia si es necesario. Actualizar no elimina puertas traseras ya instaladas.
Comandos de verificación (WP-CLI)
# Versión de WordPress instalada
wp core version
# Verificar la integridad de los archivos del núcleo
wp core verify-checksums
# Listar administradores
wp user list --role=administrator --fields=ID,user_login,user_registered
# Buscar archivos PHP en caché y uploads
find wp-content/cache wp-content/uploads -name "*.php" -mtime -30
# Buscar intentos de explotación en los registros
grep -E "batch/v1" /var/log/apache2/access.logMedidas temporales si no es posible actualizar de inmediato
- Bloquear en el WAF o servidor web la ruta
/wp-json/batch/v1y las peticiones conrest_route=/batch/v1. - Restringir el acceso no autenticado a la API REST de WordPress.
- Impedir la ejecución de PHP en
wp-content/uploads/ywp-content/cache/.
Estas medidas reducen la exposición, pero la única solución definitiva es actualizar.
Detalles técnicos
Vulnerabilidades relacionadas
CVE‑2026‑63030 — Desincronización en el procesamiento por lotes de la API REST
El endpoint de procesamiento por lotes de la API REST (/wp-json/batch/v1) valida y ejecuta las peticiones en bucles separados. Esta diferencia permite que una petición pase la validación de una forma y se ejecute de otra, lo que abre el acceso a funciones que no deberían estar disponibles sin autenticación.
CVE‑2026‑60137 — Inyección SQL en author__not_in
Inyección SQL en el núcleo de WordPress a través del parámetro author__not_in. En WordPress 6.8 solo es explotable si un plugin o tema pasa datos no confiables a ese parámetro; en 6.9 y 7.0, encadenada con CVE‑2026‑63030, es explotable en instalaciones por defecto.
Cadena de explotación observada
- Sondeo — escaneos automatizados desde miles de direcciones IP buscan sitios vulnerables, sin distinguir sector ni tamaño.
- Inyección SQL — el atacante abusa del endpoint de lotes para alcanzar la inyección en
author__not_in. - Webshell — se escribe un archivo PHP con nombre aleatorio en
wp-content/cache/; el nombre funciona también como contraseña y el archivo devuelve un 404 falso si no se envía el parámetro secreto. - Persistencia — se crea un nuevo administrador de WordPress o se suben plugins maliciosos.
Cronología
- Mediados de julio de 2026: SearchLight Cyber divulga la cadena; WordPress publica 7.0.2, 6.9.5 y 6.8.6 y fuerza actualizaciones automáticas.
- 17 de julio de 2026: Wordfence registra los primeros sondeos con patrón de explotación.
- 21 de julio de 2026: se confirma la instalación de webshells en sitios reales; CISA incluye ambos CVE en su catálogo KEV.
- Agosto de 2026: exploits públicos disponibles y escaneo masivo continuo.
En resumen
Confirmado
- CVE‑2026‑63030 y CVE‑2026‑60137 son vulnerabilidades del núcleo de WordPress con corrección oficial.
- Encadenadas permiten ejecución remota de código sin autenticación en instalaciones por defecto de 6.9 y 7.0.
- Hay explotación activa: webshells en
wp-content/cache/y creación de administradores no autorizados. - CISA incluyó ambas vulnerabilidades en su catálogo KEV.
- Actualizar no elimina puertas traseras instaladas antes del parche.
No confirmado
- El número total de sitios comprometidos a nivel mundial.
- Movimiento lateral o exfiltración de datos más allá del sitio: según Wiz, no se ha observado.
- El número de sitios afectados en Bolivia.
