{"id":1626,"date":"2026-07-17T22:30:15","date_gmt":"2026-07-17T22:30:15","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/el-nuevo-defecto-central-de-wordpress-wp2shell-permite-a-atacantes-no-autenticados-ejecutar-codigo-cyberdefensa-mx\/"},"modified":"2026-07-17T22:30:15","modified_gmt":"2026-07-17T22:30:15","slug":"el-nuevo-defecto-central-de-wordpress-wp2shell-permite-a-atacantes-no-autenticados-ejecutar-codigo-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/el-nuevo-defecto-central-de-wordpress-wp2shell-permite-a-atacantes-no-autenticados-ejecutar-codigo-cyberdefensa-mx\/","title":{"rendered":"El nuevo defecto central de WordPress wp2shell permite a atacantes no autenticados ejecutar c\u00f3digo \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Una solicitud HTTP an\u00f3nima puede ejecutar c\u00f3digo en un sitio de WordPress. El error est\u00e1 en el n\u00facleo, por lo que se puede explotar una instalaci\u00f3n simple sin complementos.<\/p>\n<p>Todos los sitios 6.9 y 7.0 estuvieron dentro del alcance hasta el viernes, cuando WordPress envi\u00f3 6.9.5 y 7.0.2 y habilit\u00f3 lo que llama actualizaciones forzadas a trav\u00e9s de su sistema de actualizaci\u00f3n autom\u00e1tica.<\/p>\n<p>Adam Kues de Assetnote, el brazo de gesti\u00f3n de superficies de ataque de Searchlight Cyber, encontr\u00f3 la falla y la inform\u00f3 a trav\u00e9s de WordPress. <a href=\"https:\/\/hackerone.com\/wordpress\" target=\"_blank\">programa hackerone<\/a>. El <a href=\"https:\/\/slcyber.io\/research-center\/wp2shell-pre-authentication-rce-in-wordpress-core\" target=\"_blank\">escribir<\/a>publicado bajo el nombre <strong>wp2shell<\/strong>dice que el ataque \u00abno tiene condiciones previas y puede ser explotado por un usuario an\u00f3nimo\u00bb.<\/p>\n<p>La empresa est\u00e1 sentada en los detalles t\u00e9cnicos por ahora y ha presentado un <a href=\"https:\/\/wp2shell.com\/\" target=\"_blank\">inspector<\/a> en wp2shell.com, para que los propietarios puedan probar su propia instancia.<\/p>\n<p>WordPress lanz\u00f3 6.9.5 y 7.0.2 el 17 de julio de 2026, cerrando un RCE de autenticaci\u00f3n previa en el n\u00facleo que una solicitud an\u00f3nima puede activar contra una instalaci\u00f3n predeterminada sin complementos. Dos rangos se ven afectados:<\/p>\n<ul>\n<li>6.9.0 a 6.9.4, corregido en 6.9.5<\/li>\n<li>7.0.0 a 7.0.1, arreglado en 7.0.2<\/li>\n<\/ul>\n<p>WordPress no ha dicho si el env\u00edo forzado llega a los sitios que desactivaron las actualizaciones autom\u00e1ticas. Verifique lo que realmente est\u00e1 ejecutando en lugar de asumir que aterriz\u00f3.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>7.1 beta2 incluye la misma soluci\u00f3n. Los sitios que todav\u00eda est\u00e1n en 6.8 tambi\u00e9n tienen una actualizaci\u00f3n esperando, pero 6.8.6 es para el segundo error de inyecci\u00f3n SQL en la misma ronda, informado por un equipo diferente.<\/p>\n<p>La publicaci\u00f3n de Searchlight estima que m\u00e1s de 500 millones de sitios web ejecutan WordPress. Esa cifra es la base instalada total, no la poblaci\u00f3n vulnerable: el c\u00f3digo defectuoso solo existe desde la versi\u00f3n 6.9 en adelante, y la 6.9 se envi\u00f3 el <a href=\"https:\/\/wordpress.org\/documentation\/wordpress-version\/version-6-9\/\" target=\"_blank\">2 de diciembre de 2025<\/a>. Por lo tanto, cada sitio afectado ejecuta una versi\u00f3n de menos de ocho meses y ninguno de los avisos dice cu\u00e1ntos sitios cubre.<\/p>\n<p>WordPress es m\u00e1s comunicativo sobre la clase de error que el investigador. Es <a href=\"https:\/\/wordpress.org\/news\/2026\/07\/wordpress-7-0-2-release\/\" target=\"_blank\">publicaci\u00f3n de lanzamiento<\/a> describe el hallazgo de Kues como \u00abuna confusi\u00f3n de rutas por lotes de API REST y un problema de inyecci\u00f3n de SQL que conduce a la ejecuci\u00f3n remota de c\u00f3digo\u00bb. El lanzamiento cubre una falla cr\u00edtica y otra de alta gravedad, y WordPress no dice cu\u00e1l es cu\u00e1l.<\/p>\n<p>El <a href=\"https:\/\/wordpress.org\/documentation\/wordpress-version\/version-7-0-2\/\" target=\"_blank\">p\u00e1gina de versi\u00f3n<\/a> enumera los tres archivos tocados por 7.0.2, cubriendo ambas correcciones: \/wp-includes\/rest-api\/class-wp-rest-server.php, \/wp-includes\/class-wp-query.php y \/wp-includes\/rest-api.php. El punto final por lotes no es nuevo. WordPress lo ha enviado desde <a href=\"https:\/\/make.wordpress.org\/core\/2020\/11\/20\/rest-api-batch-framework-in-wordpress-5-6\/\" target=\"_blank\">5.6 en noviembre de 2020<\/a> y document\u00f3 p\u00fablicamente el formato de la solicitud desde entonces. Nada publicado hasta ahora explica qu\u00e9 cambi\u00f3 en 6.9 para abrirlo.<\/p>\n<p>Ninguno de los avisos incluye un ID CVE ni una puntuaci\u00f3n CVSS, y no hab\u00eda aparecido ning\u00fan registro CVE hasta el 18 de julio. Los esc\u00e1neres e inventarios con clave CVE no marcar\u00e1n este, y CISA necesita un CVE antes de poder agregar algo al <a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\" target=\"_blank\">cat\u00e1logo KEV<\/a>. En su lugar, realice un seguimiento por n\u00famero de versi\u00f3n.<\/p>\n<h2>Si no puedes actualizar hoy<\/h2>\n<p>Todas las mitigaciones que ofrece Searchlight se reducen a mantener a las personas que llaman an\u00f3nimas fuera del punto final por lotes. Tres opciones, todas ellas provisionales hasta que actualices, y todas ellas capaces de romper integraciones leg\u00edtimas:<\/p>\n<ul>\n<li>En un WAF, bloquee \/wp-json\/batch\/v1 y rest_route=\/batch\/v1. La empresa es expl\u00edcita en que ambos tienen que desaparecer, porque una regla que cubre solo la ruta \/wp-json deja abierta la ruta de la cadena de consulta.<\/li>\n<li><a href=\"https:\/\/wordpress.org\/plugins\/disable-wp-rest-api\/\" target=\"_blank\">Deshabilitar la API REST de WP<\/a>que elimina al por mayor el acceso REST no autenticado.<\/li>\n<li>un corto <a href=\"https:\/\/wp2shell.com\/\" target=\"_blank\">complemento directo<\/a> que publica y rechaza solicitudes an\u00f3nimas \/batch\/v1 en rest_pre_dispatch.<\/li>\n<\/ul>\n<p>No se ha reportado ning\u00fan intento de explotaci\u00f3n hasta el 18 de julio. Sin CVE para etiquetar y sin firma p\u00fablica que coincida, nadie est\u00e1 realmente mirando todav\u00eda.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/sygnia-cyber-response-d-1\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiBxLQDy7VdLze43eMmpRllTXaPKPfB_veNUxQlqIu3-68GBJtegkhDGCqtaiSymOQviROdxln1FSd4zdMp5Jv9jeF1xQxLPc9uo9H7zW2nWHNax0wT0Y8JRj-zyUfbaCLqhxSfQT2sCfhWMBPL6UVgsh5RYVNVxwus_mW_BY9Ptwz3z7iF0_LWOnte-gqg\/s1600\/sy-d-1.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La explotaci\u00f3n masiva de WordPress es ahora una industria. Antes de que su servidor se filtrara en junio, un solo fallo en el complemento de almacenamiento en cach\u00e9 llev\u00f3 al equipo de WP-SHELLSTORM a m\u00e1s de 17.000 sitios, seg\u00fan su propio recuento. Ese error ya era p\u00fablico, ya estaba parcheado y solo funcionaba en una configuraci\u00f3n no predeterminada.<\/p>\n<p>Cuando Drupal parch\u00f3 una inyecci\u00f3n SQL an\u00f3nima en su propio n\u00facleo en mayo, Searchlight convirti\u00f3 esa soluci\u00f3n p\u00fablica en una <a href=\"https:\/\/slcyber.io\/research-center\/keys-to-the-kingdom-anonymous-sql-injection-in-drupal-core-cve-2026-9082\/\" target=\"_blank\">desmontaje el mismo d\u00eda<\/a> con dos pruebas de concepto funcionales. Eso fue error de otro y parche de otro, y nada obliga a la firma a hacer lo mismo con los suyos. Pero fue necesario un d\u00eda, y las personas que pusieron en marcha ese reloj son las que ahora apuestan que el silencio les da tiempo a los defensores.<\/p>\n<p>El n\u00facleo de WordPress es de c\u00f3digo abierto, y tanto 7.0.1 como 7.0.2 se encuentran en el <a href=\"https:\/\/wordpress.org\/download\/releases\/\" target=\"_blank\">archivo de lanzamiento p\u00fablico<\/a>por lo que la comparativa est\u00e1 disponible para quien la desee. Ese es el problema de todo proyecto de c\u00f3digo abierto: no se puede enviar la soluci\u00f3n sin enviar el mapa del error, y la \u00fanica palanca que queda es qu\u00e9 tan r\u00e1pido el parche llega a los sitios antes de que alguien lo lea.<\/p>\n<p>WordPress tir\u00f3 de esa palanca el viernes. El tr\u00e1fico contra el lote\/v1 mostrar\u00e1 cu\u00e1ndo llegan los atacantes, y las estad\u00edsticas de la propia versi\u00f3n de WordPress mostrar\u00e1n si el parche lleg\u00f3 primero. S\u00f3lo uno de esos n\u00fameros aparece en las noticias.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una solicitud HTTP an\u00f3nima puede ejecutar c\u00f3digo en un sitio de WordPress. El error est\u00e1 en el n\u00facleo, por lo que se puede explotar una instalaci\u00f3n simple sin complementos. Todos los sitios 6.9 y 7.0 estuvieron dentro del alcance hasta el viernes, cuando WordPress envi\u00f3 6.9.5 y 7.0.2 y habilit\u00f3 lo que llama actualizaciones forzadas [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[151,1207,2614,376,24,406,2695,169,265,2928,3879],"class_list":["post-1626","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-atacantes","tag-autenticados","tag-central","tag-codigo","tag-cyberdefensa-mx","tag-defecto","tag-ejecutar","tag-nuevo","tag-permite","tag-wordpress","tag-wp2shell"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1626","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1626"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1626\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1626"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1626"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1626"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}