- Un plugin de WordPress con casi un millón de instalaciones activas presenta una vulnerabilidad crítica.
- El fallo permite la ejecución remota de código (RCE) si se cumplen ciertas condiciones.
- Los usuarios deben actualizar a la versión 0.9.123 o superior para protegerse.
El popular plugin WPvivid Backup & Migration, utilizado por cerca de un millón de sitios web en WordPress, ha sido identificado con una vulnerabilidad de seguridad crítica. Este fallo, rastreado como CVE-2026-1357, podría permitir a actores maliciosos ejecutar código arbitrario en el servidor, representando un riesgo significativo para los datos y la integridad de los sitios afectados.
Detalles de la vulnerabilidad y su explotación
La falla surge de un manejo inadecuado de errores en el proceso de descifrado RSA, combinado con una falta de saneamiento de rutas. Esto permite a los atacantes subir archivos arbitrarios al servidor sin autenticación, lo que puede conducir a una ejecución remota de código (RCE). La gravedad de esta vulnerabilidad ha sido calificada con un 9.8 sobre 10, considerándola crítica. La versión afectada es hasta la 0.9.123, lanzada el 28 de enero.
Condiciones para la explotación
A pesar de su gravedad, la explotación de esta vulnerabilidad presenta ciertas limitaciones. Solo los sitios que tienen habilitada la opción “recibir copia de seguridad de otro sitio” son susceptibles al ataque. Además, esta función no está activada por defecto. Los atacantes disponen de una ventana de tan solo 24 horas para explotar el fallo, ya que la clave necesaria para enviar los archivos de copia de seguridad expira tras un día.
Acciones de mitigación y parche
Los investigadores de seguridad de Defiant fueron quienes descubrieron esta falla y notificaron a los desarrolladores del plugin. Como respuesta, WPvivid Backup & Migration lanzó una actualización, la versión 0.9.123, el pasado 28 de enero. Se insta a todos los usuarios del plugin a actualizar a esta versión segura lo antes posible para mitigar el riesgo. Aunque no se conoce el número exacto de instalaciones vulnerables entre las más de 900.000 activas, la rápida adopción del parche es crucial.
Impacto en la comunidad WordPress
La seguridad en el ecosistema de WordPress es una preocupación constante, dada la gran cantidad de sitios que dependen de plugins de terceros. Fallos como este subrayan la importancia de mantener actualizados tanto el núcleo de WordPress como todos los plugins y temas instalados. La comunidad de desarrolladores y usuarios debe permanecer vigilante ante nuevas amenazas y aplicar las medidas de seguridad recomendadas. La actualización a la versión 0.9.123 es el paso más importante para protegerse contra este incidente.