Non era un plugin esquecido nin un tema pirata: era o propio núcleo. E por iso WordPress non agardou a que ti actualizases.
Pensabas que, mentres mantiveses os plugins ao día, o núcleo de WordPress era terreo seguro? Case sempre é verdade. O venres 17 de xullo de 2026 deixou de selo, e a actualización chegou aínda sen que a pedises.
Segundo Patrowl, WordPress lanzou ese día as versións 7.0.2, 6.9.5 e 6.8.6 e activou actualizacións forzadas. O motivo: wp2shell, unha cadea de dous fallos no núcleo.
Como funcionaba a cadea
Patrowl explica que o primeiro fallo, CVE-2026-63030, é unha confusión de rutas na parte de procesamento en lote da API REST, que salta unha comprobación de autorización. O segundo, CVE-2026-60137, é unha inxección SQL que en principio exixía estar autenticado, no parámetro author__not_in de WP_Query. Xuntos, un atacante podía obter o hash do administrador e deixar un webshell sen plugins nin interacción do usuario.
A cadea completa afectaba a 6.9.0 a 6.9.4 e a 7.0.0 a 7.0.1. En 6.8.0 a 6.8.5, só a inxección SQL, sen poder encadearse. BleepingComputer, que cita a Searchlight Cyber, apunta que se trata dunha execución de código previa á autenticación nunha instalación estándar.
Cronoloxía
As correccións chegaron o 17 e ese mesmo día Cloudflare publicou dúas regras de WAF. Segundo Patrowl, as primeiras sinais de explotación e unha proba de concepto pública apareceron na madrugada do día 18. Segundo BleepingComputer, Wordfence viu os primeiros sondeos o 17 ás 23:29 UTC.
Wiz, citado por BleepingComputer, observou escaneos masivos, subidas de plugins maliciosos e webshells en PHP, sen movemento lateral nin exfiltración. Segundo a mesma fonte, SANS describiu ataques en dous pasos, e Macnica cifraba nun 81,6 % o ritmo de parcheo en 124.580 sitios.
A nosa lectura
Hai dúas lecturas. A boa: o sistema de actualizacións forzadas funcionou como deseñado, e a maioría dos sitios quedou protexida sen mover un dedo. A incómoda: as actualizacións forzadas non chegan a webs que as bloquearon ou desactivaron, e moitas axencias fano para evitar sustos con plugins.
Revisa que versión corre en cada cliente e confirma que son 7.0.2, 6.9.5, 6.8.6 ou superiores. Patrowl recomenda ademais buscar contas de administrador novas, plugins descoñecidos e ficheiros PHP en uploads, e, se non podes actualizar, bloquear a ruta /wp-json/batch/v1. E fai unha cousa máis: habla co cliente antes de que o faga a prensa.
