El estado de las cosas

WordPress lanzó la versión 7.0.2 el viernes y activó actualizaciones forzadas donde fue posible. No obstante, muchas páginas —especialmente las alojadas en servidores sin gestión automática— siguen expuestas.

  • CVE-2026-63030: error crítico (9.8/10) de confusión de rutas en la API REST.
  • CVE-2026-60137: inyección SQL de gravedad media (5.9/10) en el núcleo.
  • Al encadenarse, permiten ejecución remota de código sin autenticación.

Según watchTowr, el sábado por la mañana ya había escaneos masivos desde al menos 13 direcciones IP de siete países, y se observó el robo de credenciales.

Por qué importa

La cadena de explotación fue descubierta con asistencia de inteligencia artificial (OpenAI GPT 5.6 Sol) tras más de diez horas de análisis. Otros equipos de seguridad confirmaron que pudieron reproducir los fallos "en minutos" usando modelos de IA. Esto marca un cambio en la velocidad a la que los atacantes pueden convertir una vulnerabilidad en un arma funcional.

Además, el exploit no requiere condiciones previas: funciona en una instalación limpia de WordPress, sin plugins adicionales. La empresa Cloudflare señala que la ejecución remota solo es posible cuando no se usa un caché de objetos persistente, pero la inyección SQL afecta incluso con caché activa.

Lo que cambia

La combinación de propagación ultrarrápida, explotación pública y escalado automático —posiblemente potenciado por IA— obliga a los administradores a actuar de inmediato. watchTowr advierte que, incluso tras parchar, debe revisarse si ya se instalaron puertas traseras.

  • Actualizar a WordPress 7.0.2 (o 6.9.5 para quienes no puedan saltar de versión).
  • Revisar registros de acceso y detectar cuentas o archivos sospechosos.
  • Considerar firewalls de aplicaciones web si no se usan.

El investigador Daniel Card estima que, pese a las actualizaciones automáticas, alrededor del 15 % de los sitios (unos 90 millones) siguen siendo vulnerables. La ventana de oportunidad para los atacantes se está cerrando, pero el daño ya comenzó.