Un fallo en un plugin de copias de seguridad de WordPress expone a millones de sitios web a ataques de toma de control

Una vul­ne­ra­bi­li­dad de in­yec­ción SQL en un com­ple­men­to de Word­Press des­ti­na­do a rea­li­zar res­pal­dos y mi­gra­cio­nes puede per­mi­tir que ata­can­tes sin au­ten­ti­ca­ción eje­cu­ten có­di­go de forma re­mo­ta y asu­man el con­trol de los si­tios web afec­ta­dos. El fallo de alta gra­ve­dad, iden­ti­fi­ca­do como CVE-2026-19949, afec­ta a las ver­sio­nes del com­ple­men­to hasta la 7.110 (ex­clui­da esta úl­ti­ma) y surge de un pro­ce­sa­mien­to inade­cua­do de ba­rras in­ver­ti­das y co­mi­llas es­ca­pa­das cuan­do se re­es­cri­be el con­te­ni­do de la base de datos du­ran­te la res­tau­ra­ción de ar­chi­vos.

El me­ca­nis­mo de ata­que re­quie­re que un ata­can­te sin au­ten­ti­ca­ción in­tro­duz­ca in­for­ma­ción ma­ni­pu­la­da me­dian­te track­backs de Word­Press, la cual per­ma­ne­ce inac­ti­va hasta que un ad­mi­nis­tra­dor rea­li­za las ac­cio­nes ha­bi­tua­les de ex­por­tar e im­por­tar el sitio. Al lle­var a cabo esta res­tau­ra­ción, los lí­mi­tes de las ca­de­nas SQL pro­ce­san los datos al­ma­ce­na­dos, lo que ex­po­ne la clave se­cre­ta de im­por­ta­ción del com­ple­men­to a tra­vés de un co­men­ta­rio pú­bli­co y po­si­bi­li­ta que el ata­can­te car­gue un ar­chi­vo ma­li­cio­so con có­di­go eje­cu­ta­ble.

Este com­ple­men­to cuen­ta con mi­llo­nes de ins­ta­la­cio­nes ac­ti­vas en Word­Press.org, y aun­que el pro­vee­dor so­lu­cio­nó el fallo en una nueva ver­sión tras ser aler­ta­do por in­ves­ti­ga­do­res, una gran parte de los si­tios con­ti­núa uti­li­zan­do edi­cio­nes vul­ne­ra­bles a menos que se man­ten­gan des­ac­ti­va­das de forma per­ma­nen­te.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre la úl­ti­ma sec­ción re­la­ti­va al Blue Re­port 2026 y las es­ta­dís­ti­cas de blo­queo tras el ac­ce­so ini­cial.