Si tu sitio corre sobre WordPress, esta es la noticia que no puedes ignorar esta semana. Investigadores de seguridad han confirmado explotación activa de wp2shell, una cadena de dos vulnerabilidades del núcleo de WordPress que permite a un atacante sin credenciales tomar el control total de un sitio en cuestión de minutos. No hace falta ningún plugin vulnerable ni configuración especial: el problema está en el propio core.
Qué es wp2shell y por qué es tan peligrosa
Wp2shell es el nombre con el que la comunidad de seguridad bautizó la combinación de dos fallos descubiertos casi al mismo tiempo: CVE-2026-63030, una confusión en el enrutamiento por lotes (“batch”) de la REST API introducida en WordPress 6.9, y CVE-2026-60137, una inyección SQL en el parámetro author__not_in de WP_Query, presente desde la versión 6.8.
Por separado, ambos fallos ya son serios. Encadenados, el resultado es mucho peor: un atacante no autenticado puede usar el endpoint de lotes de la REST API para explotar la inyección SQL y, a partir de ahí, ejecutar código arbitrario en el servidor. En la práctica, eso significa control completo del sitio, robo de la base de datos, inserción de puertas traseras o su uso como plataforma para distribuir malware.
Qué versiones están afectadas
Según el análisis conjunto de firmas como Akamai, Rapid7 y Tenable, la cadena completa de RCE afecta a WordPress 6.9.0–6.9.4 y 7.0.0–7.0.1. La inyección SQL por sí sola, que también puede ser aprovechada de forma independiente, afecta además a 6.8.0–6.8.5.
El equipo de WordPress reaccionó rápido: publicó las versiones 6.9.5, 7.0.2 y 6.8.6 el mismo 17 de julio de 2026, y activó actualizaciones automáticas forzadas para acelerar el parcheo a escala global. Aun así, en menos de 24 horas ya circulaban exploits de prueba de concepto públicos, y varias firmas —entre ellas Cloudflare y VulnCheck— confirmaron intentos de explotación real contra sitios sin parchear.
Cómo protegerte ahora mismo
Si administras uno o varios sitios en WordPress, esto es lo primero que deberías revisar hoy mismo:
1. Verifica tu versión. Entra a Escritorio → Actualizaciones y confirma que estás en 6.8.6, 6.9.5, 7.0.2 o superior.
2. No confíes solo en las actualizaciones automáticas. Muchos hosts desactivan las actualizaciones forzadas por políticas internas; verifica manualmente si no estás seguro.
3. Activa un WAF. Servicios como Cloudflare ya publicaron reglas específicas para bloquear los patrones de explotación de wp2shell mientras terminas de actualizar.
4. Revisa logs y usuarios. Si tu sitio estuvo expuesto entre el 17 y el 20 de julio con una versión vulnerable, busca usuarios administradores desconocidos, archivos PHP recién creados o plugins no instalados por ti.
Preguntas frecuentes
¿Necesito tener un plugin vulnerable para ser atacado por wp2shell?
No. A diferencia de la mayoría de los incidentes de seguridad en WordPress, wp2shell explota exclusivamente el núcleo del CMS. Basta con tener una instalación estándar de WordPress en una versión afectada (6.8.x, 6.9.x o 7.0.x sin parchear) para ser vulnerable, sin importar los plugins o el tema instalados.
¿Cómo sé si mi sitio ya fue comprometido?
Revisa la lista de usuarios en busca de cuentas de administrador que no reconozcas, examina la carpeta wp-content/uploads y los directorios de temas/plugins en busca de archivos PHP sospechosos, y compara los logs de acceso del 17 al 20 de julio buscando solicitudes inusuales al endpoint /wp-json/wp/v2/ con parámetros de lote (batch). Si tienes dudas, un escaneo con Wordfence o Sucuri puede confirmarlo.
¿Actualizar a la última versión es suficiente o necesito hacer algo más?
Actualizar es el paso obligatorio, pero no basta si tu sitio ya estuvo expuesto y potencialmente comprometido antes del parche. En ese caso, actualizar sin limpiar primero solo corrige la puerta de entrada, no elimina una posible puerta trasera ya instalada. Si hubo una ventana de exposición, se recomienda además restaurar desde un backup limpio anterior al 17 de julio o hacer una auditoría completa de malware.
Conclusión
Wp2shell es un recordatorio de que incluso el software más usado del mundo para crear sitios web —WordPress mueve más del 40% de internet— no está exento de fallos críticos en su propio núcleo. La combinación de una explotación sin autenticación, ausencia de dependencia de plugins y disponibilidad casi inmediata de exploits públicos la convierte en una de las vulnerabilidades más serias del año para el ecosistema WordPress. La buena noticia es que el parche ya existe: la prioridad número uno esta semana es actualizar, verificar y, si hubo exposición, auditar.
Fuentes: Akamai, Rapid7, Help Net Security y Cloudflare.
