Esta vez no podemos mirar de reojo al típico plugin abandonado desde 2019 y decir aquello de «normal, si instalas cualquier cosa».

El último melón de seguridad está en el propio núcleo de WordPress. Se llama WP2Shell, permite atacar una instalación sin iniciar sesión y ya se explota de forma automatizada. El parche está disponible, pero conviene comprobarlo con nuestros propios ojitos.

Porque aquí hay dos preguntas distintas. Una es si tu WordPress está actualizado. La otra, bastante menos cómoda, es si alguien entró antes de que lo actualizaras.

Dos fallos que juntos montan una buena verbena

WP2Shell no es una vulnerabilidad solitaria, sino la combinación de dos fallos.

El primero es CVE-2026-60137, una inyección SQL relacionada con WP_Query. Dicho en cristiano, permite colar instrucciones donde WordPress esperaba datos normales y consultar información que no debería enseñar.

El segundo es CVE-2026-63030, un problema en el procesamiento por lotes de la API REST. Al juntarlos, una persona anónima puede acceder a la base de datos y, en las versiones más expuestas, ejecutar código en el servidor.

No necesita conocer tu contraseña, convencerte para que pulses un enlace ni esperar a que instales el plugin «Carrusel Supremo 2008». Puede funcionar contra una instalación estándar.

Por eso el aviso de WordPress 7.0.2 no se anda con demasiados rodeos. El equipo publicó las correcciones el 17 de julio y activó actualizaciones automáticas forzadas para las versiones afectadas.

Qué versiones están dentro del charco

La cadena completa de ejecución remota de código afecta a WordPress 6.9.0 hasta 6.9.4 y 7.0.0 hasta 7.0.1.

La rama 6.8 también contiene la inyección SQL, aunque no incorpora el segundo fallo necesario para completar el mismo recorrido hasta la ejecución de código. La corrección llegó con 6.8.6.

La cuenta fácil queda así. Si estás en esas ramas, necesitas como mínimo 6.8.6, 6.9.5 o 7.0.2. La ficha de CVE-2026-63030 publicada por NVD puntúa la cadena con un 9,8 sobre 10.

Basta con entrar en Escritorio → Actualizaciones y mirar la versión real. No la que crees tener ni la que debería haber instalado el hosting.

El parche salió y los robots se pusieron las botas

La fiesta empezó muy rápido. El MS-ISAC comunicó que estaba viendo escaneo automatizado e intentos de explotación, tal como recoge su aviso sobre WP2Shell.

Una red de sistemas señuelo detectó las primeras pruebas pocas horas después de publicarse la actualización. En menos de dos días ya recibía miles de sesiones automatizadas. La mayoría buscaba instalaciones vulnerables, aunque algunas llegaron a leer bases de datos e intentar controlar el sitio. Los datos están en este hilo de la comunidad de WordPress.

También se han observado archivos webshell, plugins maliciosos, accesos al panel y cuentas administradoras que nadie recuerda haber invitado. BleepingComputer recopila los hallazgos de varios equipos de seguridad.

Esto no significa que cada WordPress desactualizado haya sido conquistado por un señor con sudadera negra y música de Matrix. Mucha actividad corresponde a escáneres e investigadores, pero hay explotación real suficiente para no dejarlo para el lunes.

Actualizar cierra la puerta, pero no echa al que entró

Este es el detalle más importante de todo el caso.

Si actualizas ahora, corriges la vulnerabilidad. Lo que no haces es borrar automáticamente una puerta trasera, eliminar una cuenta administradora falsa o devolver a su estado anterior un archivo modificado.

Por eso la conversación entre administradores ha pasado rápidamente del «actualiza ya» al «actualiza y revisa». Una guía comunitaria de limpieza recomienda comprobar usuarios, plugins, archivos PHP recientes, carpetas de caché, credenciales y contenido de la base de datos.

Tampoco conviene agarrarse a remedios mágicos. Cambiar el prefijo wp_, esconder la dirección del panel o bloquear XML-RPC no corrige este fallo. Instalar ahora un plugin de seguridad puede ayudar a vigilar, pero no convierte por arte de magia una instalación comprometida en una instalación limpia.

Si la web permaneció expuesta, revisa registros, administradores, plugins y archivos recientes. Si hay indicios, conserva una copia, restaura desde un respaldo limpio y sustituye núcleo, plugins y temas. Después toca cambiar contraseñas, salts, credenciales de la base de datos y accesos al alojamiento.

Y en mitad del incendio apareció la IA

El caso trae una segunda historia con bastante miga. Adam Kues, investigador de Searchlight Cyber, cuenta que utilizó GPT-5.6 Sol para analizar el código y construir la cadena de ataque.

En su relato del descubrimiento, explica que trabajó con varios agentes durante horas y estima un coste prorrateado cercano a 25 dólares. Después verificó manualmente el resultado y comunicó el problema a WordPress.

La lectura optimista es que la IA puede ayudar a encontrar agujeros antes de que los aprovechen los malos. La menos cómoda es que investigar vulnerabilidades complejas también empieza a ser más rápido y barato para cualquiera con las herramientas adecuadas.

Así que el aprendizaje no es que WordPress sea un desastre ni que tengamos que volver todos al HTML escrito con cincel. Es algo más sencillo. Las actualizaciones de seguridad ya no pueden dormir una semana en la pestaña de pendientes.

Comprueba la versión, actualiza y, si tu web estuvo expuesta, comprueba también que siga limpia.

Porque el parche tapa el agujero. Lo de sacar a quien ya se haya colado es otro trabajo.