{"id":1090,"date":"2026-06-05T09:15:51","date_gmt":"2026-06-05T09:15:51","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/los-piratas-informaticos-aprovechan-un-defecto-critico-del-complemento-de-wordpress-everest-forms-pro-para-apoderarse-de-los-sitios\/"},"modified":"2026-06-05T09:15:51","modified_gmt":"2026-06-05T09:15:51","slug":"los-piratas-informaticos-aprovechan-un-defecto-critico-del-complemento-de-wordpress-everest-forms-pro-para-apoderarse-de-los-sitios","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/los-piratas-informaticos-aprovechan-un-defecto-critico-del-complemento-de-wordpress-everest-forms-pro-para-apoderarse-de-los-sitios\/","title":{"rendered":"Los piratas inform\u00e1ticos aprovechan un defecto cr\u00edtico del complemento de WordPress Everest Forms Pro para apoderarse de los sitios"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los actores de amenazas est\u00e1n explotando activamente una falla de seguridad cr\u00edtica en Everest Forms Pro, un complemento de WordPress con alrededor de 4000 instalaciones activas, para ejecutar c\u00f3digo arbitrario, lo que lleva a un compromiso completo del sitio.<\/p>\n<p>La vulnerabilidad en cuesti\u00f3n es CVE-2026-3300 (puntuaci\u00f3n CVSS: 9,8), un error de ejecuci\u00f3n remota de c\u00f3digo que afecta a todas las versiones del complemento hasta la 1.9.12 inclusive. Se lanz\u00f3 un parche para la falla el 18 de marzo de 2026, con la versi\u00f3n 1.9.13.<\/p>\n<p>\u00abEsto se debe a que la funci\u00f3n Process_filter() del complemento de c\u00e1lculo concatena valores de campo de formulario enviados por el usuario en una cadena de c\u00f3digo PHP sin el escape adecuado antes de pasarlo a eval()\u00bb, Wordfence <a href=\"https:\/\/www.wordfence.com\/blog\/2026\/06\/attackers-actively-exploiting-critical-vulnerability-in-everest-forms-pro-plugin\/\">dicho<\/a>.<\/p>\n<p>\u00abLa funci\u00f3n sanitize_text_field() aplicada a la entrada no escapa de las comillas simples u otros caracteres de contexto del c\u00f3digo PHP. Esto hace posible que atacantes no autenticados inyecten y ejecuten c\u00f3digo PHP arbitrario en el servidor enviando un valor manipulado en cualquier campo de formulario de tipo cadena (texto, correo electr\u00f3nico, URL, selecci\u00f3n, radio) cuando un formulario utiliza la funci\u00f3n &#8216;C\u00e1lculo complejo&#8217;\u00bb.<\/p>\n<p>La explotaci\u00f3n exitosa de la vulnerabilidad podr\u00eda permitir a actores maliciosos no autenticados ejecutar c\u00f3digo PHP arbitrario en el servidor, permiti\u00e9ndoles crear cuentas de administrador fraudulentas, implementar shells web y abrir otras formas de profundizar en el servidor y establecer puntos de apoyo persistentes.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Seg\u00fan la empresa de seguridad de WordPress, se ha observado que los atacantes explotan el defecto a partir del 13 de abril de 2026. Hasta la fecha se han bloqueado m\u00e1s de 29.300 intentos de explotaci\u00f3n dirigidos al defecto. De estos, <a href=\"https:\/\/www.wordfence.com\/threat-intel\/vulnerabilities\/wordpress-plugins\/everest-forms-pro\/everest-forms-pro-1912-unauthenticated-remote-code-execution-via-calculation-field\">16 intentos de ataque<\/a> ocurrido en las \u00faltimas 24 horas. La carga \u00fatil m\u00e1s com\u00fan implica intentos de crear una cuenta de administrador llamada \u00abdiksimarina\u00bb (direcci\u00f3n de correo electr\u00f3nico: diksimarina@gmail.com) en el sitio comprometido.<\/p>\n<p>Estos esfuerzos de ataque se originaron en las siguientes direcciones IP:<\/p>\n<ul>\n<li>202.56.2.126<\/li>\n<li>209.146.60.26<\/li>\n<li>15.235.166.18<\/li>\n<li>2402:1f00:8000:800::40dB<\/li>\n<li>185.78.165.153<\/li>\n<\/ul>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWRR8U6PCTO5cxgK4VyQ21XWDJA0hX9oXeLkd5FvxG0UazqVyY4FaRnnleUQcUBaT5j0LtYJ2ODJjx2MP4ckM05XL8C_-Ax8wzJbX8Qzful4fwRWg5UwwNTzCQbNHZlg4jT_ikITO2qRTq7eQKg3CUj1tUjoXjnE6E_V4srzZXUqPvrfrBK38kijJw4oyu\/s1700-e365\/wordfence.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWRR8U6PCTO5cxgK4VyQ21XWDJA0hX9oXeLkd5FvxG0UazqVyY4FaRnnleUQcUBaT5j0LtYJ2ODJjx2MP4ckM05XL8C_-Ax8wzJbX8Qzful4fwRWg5UwwNTzCQbNHZlg4jT_ikITO2qRTq7eQKg3CUj1tUjoXjnE6E_V4srzZXUqPvrfrBK38kijJw4oyu\/s1700-e365\/wordfence.png\" alt=\"\" border=\"0\" data-original-height=\"755\" data-original-width=\"985\"\/><\/a><\/div>\n<h3>Los ataques de Skimmer explotan Stripe para C2<\/h3>\n<p>La divulgaci\u00f3n se produce cuando Sansec advirti\u00f3 sobre m\u00faltiples campa\u00f1as de skimmer, incluida una que utiliza Stripe como servidor de comando y control (C2) y un sumidero de exfiltraci\u00f3n de datos en un intento por explotar la reputaci\u00f3n de la marca y eludir las reglas de la Pol\u00edtica de seguridad de contenido y los filtros de red.<\/p>\n<p>\u00abEl atacante trata a Stripe como una infraestructura gratuita, no como una forma de blanquear cargos\u00bb, Sansec <a href=\"https:\/\/sansec.io\/research\/stripe-api-skimmer-infrastructure\">anotado<\/a>. \u00abStripe les proporciona una base de datos grabable para tarjetas robadas y un punto final de alojamiento de c\u00f3digo para el skimmer, ambos detr\u00e1s de un dominio en el que las reglas CSP y los filtros de red conf\u00edan de forma predeterminada\u00bb.<\/p>\n<p>La campa\u00f1a se basa en los dominios Google Tag Manager (GTM) y Stripe (googletagmanager.com y api.stripe.com), en los que las tiendas en l\u00ednea conf\u00edan impl\u00edcitamente, con el c\u00f3digo malicioso cargado desde un contenedor GTM y ejecutado en cada p\u00e1gina que lo carga.<\/p>\n<p>En las p\u00e1ginas de pago de Magento y Adobe Commerce, extrae un skimmer ofuscado de un <a href=\"https:\/\/docs.stripe.com\/api\/customers\/\">Cuenta de cliente de Stripe<\/a>del campo de metadatos (\u00abcus_TfFjAAZQNOYENR\u00bb, en este caso) y guarda la informaci\u00f3n financiera, las direcciones de facturaci\u00f3n y de correo electr\u00f3nico y los n\u00fameros de tel\u00e9fono ingresados \u200b\u200bpor usuarios desprevenidos para <a href=\"https:\/\/developer.mozilla.org\/en-US\/docs\/Web\/API\/Window\/localStorage\">almacenamiento local<\/a>. Los datos capturados luego se extraen de nuevo a la cuenta de Stripe del atacante.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abCada tarjeta robada se convierte en un &#8216;cliente&#8217; en la cuenta del atacante\u00bb, afirm\u00f3 la empresa de seguridad del comercio electr\u00f3nico. \u00abSi tiene \u00e9xito, el cargador elimina la entrada localStorage, por lo que el mismo registro no se env\u00eda dos veces. El atacante lista sus tarjetas robadas m\u00e1s tarde llamando a la misma API con la misma clave. La base de datos de clientes de Stripe se convierte en un sumidero de exfiltraci\u00f3n gratuito y duradero\u00bb.<\/p>\n<p>Se dice que el registro de cliente de Stripe que contiene el skimmer se cre\u00f3 el 24 de diciembre de 2025, lo que indica que la operaci\u00f3n puede haber estado activa desde entonces. Sansec dijo que tambi\u00e9n identific\u00f3 una segunda variante del cargador que usa Google Firestore en lugar de Stripe, aunque el objetivo final es el mismo: abusar de un servicio confiable como un canal encubierto que es poco probable que sea bloqueado por las tiendas de comercio electr\u00f3nico.<\/p>\n<p>Los hallazgos coinciden con una operaci\u00f3n a gran escala denominada <a href=\"https:\/\/sansec.io\/research\/gorgonagora-fake-storefront-skimming-network\">Gorgon\u00e1gora<\/a> que ha utilizado un grupo de 5.714 escaparates .shop falsos que se hacen pasar por marcas como Starbucks, Ford, Sony, Mattel, Hasbro, Lego, Disney y Toyota, cuyas p\u00e1ginas de pago canalizan datos de tarjetas robadas a un \u00fanico servidor skimmer en Moldavia. La campa\u00f1a ha estado en curso desde agosto de 2025.<\/p>\n<p>\u00abCada tienda ejecuta la misma pila de comercio Medusa.js y carga el mismo SDK de pago personalizado, que genera un iframe Stripe falso y filtra los datos de la tarjeta a trav\u00e9s de un WebSocket cifrado a un \u00fanico servidor en Moldavia\u00bb, dijo la compa\u00f1\u00eda holandesa.<\/p>\n<p>\u00abLa exfiltraci\u00f3n se ejecuta a trav\u00e9s de WebSocket con una carga \u00fatil AES-256-GCM, y el C2 mantiene una retransmisi\u00f3n 3D Secure en vivo: cuando el banco v\u00edctima devuelve un desaf\u00edo 3DS, el operador se lo devuelve al comprador a trav\u00e9s del iframe falso para que la transacci\u00f3n se complete y el robo permanezca invisible\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los actores de amenazas est\u00e1n explotando activamente una falla de seguridad cr\u00edtica en Everest Forms Pro, un complemento de WordPress con alrededor de 4000 instalaciones activas, para ejecutar c\u00f3digo arbitrario, lo que lleva a un compromiso completo del sitio. La vulnerabilidad en cuesti\u00f3n es CVE-2026-3300 (puntuaci\u00f3n CVSS: 9,8), un error de ejecuci\u00f3n remota de c\u00f3digo [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[161,466,1881,561,406,70,2929,2930,540,52,36,539,1710,266,2928],"class_list":["post-1090","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apoderarse","tag-aprovechan","tag-complemento","tag-critico","tag-defecto","tag-del","tag-everest","tag-forms","tag-informaticos","tag-los","tag-para","tag-piratas","tag-pro","tag-sitios","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1090","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1090"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1090\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1090"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1090"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1090"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}