O botón de recuperar o contrasinal, o máis inocente de todos, convertido en chave mestra para quen soubese pedilo.
Pensas en como protexer o teu WordPress e che vén á cabeza o contrasinal do administrador. Pero e se o fallo estivese no botón que serve para recuperalo? Iso pasou no plugin Kirki, e a noticia saltou o 2 de xuño de 2026.
Segundo BleepingComputer, o fallo, rexistrado como CVE-2026-8206, afectaba ás versións 6.0.0 a 6.0.6 de Kirki, un plugin con máis de 500.000 instalacións activas. A versión 6.0.7, que o corrixe, saíu o 18 de maio.
Como funcionaba
O problema estaba nun punto da API REST que xestiona o contrasinal esquecido e que aceptaba calquera enderezo de correo. Un atacante sen sesión indicaba o nome dun usuario e un correo seu. O plugin xeraba un enlace de recuperación válido para esa conta… pero enviábao ao correo do atacante. Así quedaba o paso libre á conta de administrador, tamén segundo Orca Security, que engade que as webs con xestión de contas desde a parte pública estaban en maior risco.
Cronoloxía e cifras
BleepingComputer sitúa o descubrimento nun investigador que informou a Wordfence o 4 de maio; Wordfence avisou ao fabricante o 16 e o arranxo chegou o 18. O mesmo medio indica que as versións vulnerables eran usadas por case un 40 % dos usuarios do plugin, e Orca fala de ao redor de 150.000 sitios en risco.
Houbo ademais explotación activa. BleepingComputer cita máis de 222 intentos bloqueados polo firewall de Wordfence en 24 horas; Orca recolle outra cifra, 59, nunha ventá semellante. As fontes non coinciden no número, pero si en que os ataques non eran hipotéticos.
Que facer
As dúas fontes din o mesmo: actualizar a Kirki 6.0.7 ou superior, ou desactivar o plugin se non se pode. Se o teu sitio estivo exposto, conveña revisar contas de administrador descoñecidas, plugins instalados recentemente e ficheiros PHP sospeitosos, e cambiar os contrasinais con privilexios.
A nosa lectura
A moral non é que Kirki sexa malo, senón que calquera plugin con funcións de conta é unha porta nova. Para unha axencia con clientes en WordPress, o plan é aburrido e eficaz: inventario de plugins, actualizacións con calendario, dobre factor para administradores e un aviso cando algo sae en prensa.
E unha pregunta incómoda para a próxima reunión: sabes cantos plugins ten cada cliente que ninguén actualiza desde que se instalaron?
