Más de 440,000 intentos de explotación se han registrado contra dos vulnerabilidades críticas de ejecución remota de código (RCE) en los populares plugins de WordPress, Super Forms y Elementor Pro. Estos fallos de seguridad permiten a atacantes no autenticados tomar control de sitios web, comprometiendo la información y la funcionalidad del negocio. Las empresas que utilizan WordPress con estos plugins están bajo un riesgo significativo.
La primera vulnerabilidad, identificada como CVE-2026-14894 (CVSS 9.8), afecta a Super Forms – Drag & Drop Form Builder. Reside en una validación de tipo de archivo deficiente que permite a los atacantes subir archivos de cualquier tipo, incluidos scripts PHP ejecutables. Al explotar esta falla, los actores de amenazas pueden instalar una “web shell” en el sitio, abriendo la puerta a la creación de cuentas de administrador, exfiltración de datos o el control total del sitio. La actividad maliciosa comenzó el 14 de julio de 2026 y la corrección se encuentra en la versión 6.3.314 de Super Forms.
La segunda falla, CVE-2026-32475 (CVSS 9.0/9.8), se encuentra en Elementor Pro. Similarmente, permite la carga arbitraria de archivos PHP por parte de usuarios no autenticados, resultando en RCE. Su explotación requiere que el sitio tenga al menos una página de Elementor publicada con un widget de formulario que incluya un campo de carga de archivos. Una vez subido, el archivo PHP se aloja en el directorio /wp-content/uploads/elementor/forms/ y puede ser ejecutado directamente. Las explotaciones de esta vulnerabilidad comenzaron el 19 de agosto de 2026 y esta fue corregida en la versión 4.2.2 de Elementor Pro.
Dada la criticidad y la explotación activa, es imperativo que los propietarios de sitios de WordPress que utilicen Super Forms o Elementor Pro actualicen inmediatamente sus plugins a las versiones corregidas (6.3.314 y 4.2.2, respectivamente). Adicionalmente, se recomienda escanear los sitios en busca de indicadores de compromiso y auditar la presencia de archivos .php inesperados o modificados recientemente, que podrían ser web shells.
Qué significa para tu empresa: La explotación de estas vulnerabilidades subraya la necesidad crítica de proteger las aplicaciones web, especialmente aquellas basadas en plataformas populares como WordPress. Una defensa esencial es la implementación de un WAF para aplicaciones (Web Application Firewall), capaz de detectar y bloquear intentos de carga de archivos maliciosos y de ejecución de código antes de que lleguen al servidor web. Esto reduce significativamente el riesgo de compromiso y la interrupción del negocio.
Fuente original: The Hacker News — ver artículo →