La nueva vulnerabilidad wp2shell RCE afecta a millones de sitios de WordPress y se lanza un parche de…

Se ha descubierto en WordPress Core una vulnerabilidad crítica de ejecución remota de código (RCE) previa a la autenticación denominada “wp2shell”, que pone a más de 500 millones de sitios web en riesgo de ser tomados por completo por atacantes no autenticados. El investigador de seguridad Adam Kues del equipo de investigación Assetnote de Searchlight Cyber ​​descubrió la falla, que surge de un problema de confusión de ruta por lotes de API REST que conduce a la inyección de SQL y, en última instancia, a la ejecución remota de código.

Vulnerabilidad wp2shell RCE En términos prácticos, un atacante no necesita un inicio de sesión, un complemento vulnerable o ninguna configuración especial del sitio para comprometer un objetivo, solo una instancia de WordPress accesible que ejecute una versión afectada. Qué versiones de WordPress se ven afectadas La vulnerabilidad afecta a una banda específica de versiones de WordPress Core, rastreadas bajo dos identificadores CVE: CVE-2026-60137 (que también cubre un problema de inyección SQL separado) y CVE-2026-63030, la falla RCE de ruta por lotes reportada por Kues. Rango de versiones de WordPress Estado 6.8.5 y anteriores No afectado 6.9.0 – 6.9.4 Afectado 7.0.0 – 7.0.1 Afectado 7.1 beta (prelanzamiento) Afectado En particular, la rama de WordPress 6.8 solo se ve afectada por el componente de inyección SQL (CVE-2026-60137), no por la cadena RCE, y se ha respaldado una solución a la versión 6.8.6. WordPress.org ha enviado la versión 7.0.2, junto con correcciones retroportadas en 6.9.5 y 6.8.6, que abordan tanto el problema crítico de RCE como una falla de inyección SQL de alta gravedad.

Los propietarios de sitios también pueden actualizar manualmente a través del Panel de WordPress navegando a Actualizaciones y haciendo clic en "Actualizar ahora" o descargando la versión directamente desde WordPress.org. La publicación La nueva vulnerabilidad wp2shell RCE afecta a millones de sitios de WordPress y se lanzó el parche de emergencia apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗