Ola de ataques a WordPress: tres amenazas activas y lo que deben revisar los sitios y comercios cripto

Mientras los exchanges sumaban ocho incidentes de seguridad en nueve días, otra ola golpeaba a los sitios web: tres amenazas contra WordPress, el sistema con el que funcionan millones de medios, tiendas y pasarelas de pago, están siendo explotadas o descritas como activas en las últimas semanas. Una de ellas está en el corazón del propio WordPress y otra afecta a un plugin de pagos con criptomonedas. Te explicamos qué son y qué revisar hoy.

Por qué importa si tu negocio es cripto

Un sitio comprometido no solo pierde datos. Puede servir para mostrar enlaces falsos de «compensaciones», inyectar código que intenta vaciar billeteras de los visitantes o redirigir pagos. Y el contexto no ayuda: entre el 29 de octubre y el 6 de noviembre contamos ocho incidentes en empresas cripto y bancos. Y en seguridad web, un plugin o un servidor descuidado funciona igual que un proveedor débil: es una puerta que otro deja abierta en tu casa.

1. Una falla del núcleo que se activa al actualizar

WordPress publicó el 28 de octubre la versión 7.1.4 para corregir una falla que afecta desde la versión 4.7 hasta la 7.1.3. Está registrada como CVE-2026-119977 y en el aviso GHSA-4w3m-c66w-69mg. El problema: durante una actualización completa del núcleo, los archivos nuevos, incluido el instalador, se descomprimen por unos instantes en una carpeta predecible y accesible desde internet, dentro de wp-content/upgrade. Un atacante que acierte esa ventana puede llegar a ejecutar código en el servidor sin tener cuenta, según The Hacker News.

Es una carrera difícil de ganar, pero se está intentando a escala. El equipo de Wordfence informó que bloqueó 62.969 intentos en las 24 horas previas al 30 de octubre, y su contador seguía en unos 20.000 diarios el 3 de noviembre. Ese mismo día, la agencia de ciberseguridad de EE. UU. (CISA) la agregó a su catálogo de vulnerabilidades explotadas y fijó para las agencias federales un plazo de corrección hasta el 6 de noviembre. Hay una diferencia de criterio: WordPress califica el riesgo como bajo; Wordfence le da 8,1 sobre 10.

Las versiones corregidas de las demás ramas, de la 4.7 a la 6.7, están en el aviso oficial. Un número de versión más alto no basta por sí solo: hay que confirmar que cumple el mínimo de su rama.

2. Una puerta trasera que se reconstruye sola

La firma de seguridad Sucuri describió en octubre una puerta trasera para WordPress con una particularidad: se guarda en tantos lugares a la vez que, si se borra una copia, las demás la reinstalan. Según el resumen de The Hacker News, se esconde en un archivo .user.ini que carga código antes de cada página, en dos archivos especiales que WordPress carga al arrancar (db.php y advanced-cache.php), en el tema, en un plugin falso duplicado como «plugin obligatorio», en la base de datos, en tareas programadas con nombres al azar y hasta en la memoria compartida del servidor, que sobrevive a la limpieza de archivos. Además crea una cuenta de administrador oculta.

La lección es de método: limpiar por partes no funciona. Hay que revisar todos esos lugares en una sola pasada, reiniciar PHP para vaciar la memoria y cambiar todas las credenciales.

3. Un plugin de pagos cripto con gravedad máxima y sin parche

CryptoPayment Gateway, un plugin para cobrar con criptomonedas, tiene una falla calificada con 10 sobre 10 (CVE-2026-81648) en sus versiones 1.2.1 y 1.2.2. Un punto de su código no comprueba quién hace la petición, así que cualquiera, sin iniciar sesión, puede leer la configuración de las billeteras guardadas, cambiar los datos de cobro o borrar archivos del servidor. La firma Defused Cyber observó intentos de explotación desde servicios de hosting que se anuncian como «sin KYC», según TokenPost.

No hay versión corregida: WordPress.org retiró el plugin de su directorio el 28 de agosto por «un problema de seguridad». No se ha informado de comercios afectados ni de fondos robados, y el número de sitios que lo usan es desconocido. Si lo tienes, la recomendación es quitarlo y tratar como comprometida cualquier clave de billetera que haya guardado.

Qué revisar hoy en tu sitio

1. Actualiza el núcleo a la versión corregida de tu rama y comprueba que sus archivos coinciden con los oficiales (en WP-CLI: wp core verify-checksums). Ojo: esa comprobación también avisa de archivos que sobran, y esos avisos no se deben ignorar.
2. Bloquea la ejecución de PHP donde no hace falta: la carpeta de subidas y wp-content/upgrade. Pruébalo antes en tu servidor.
3. Quita los plugins que no uses, aunque estén desactivados: su código sigue accesible desde internet. Y nunca instales versiones «premium» pirateadas, porque son una vía conocida para meter código malicioso.
4. Busca las señales de la puerta trasera: archivos .user.ini con auto_prepend_file, archivos db.php o advanced-cache.php que ningún plugin tuyo instaló, administradores que no reconoces y tareas programadas con nombres raros.
5. No guardes claves privadas de billeteras en el servidor. Si cobras en cripto, prefiere pasarelas que no custodien tus claves dentro de WordPress.
6. Activa la verificación en dos pasos para todos los administradores y cambia la dirección del acceso al panel.

Si administras un sitio y no sabes cómo hacer estas comprobaciones, pídeselas a tu proveedor de hosting o a tu desarrollador. Como usuario, la regla de siempre: si una página que conoces de pronto te pide conectar tu billetera o firmar algo que no esperabas, no lo hagas.

Fuentes: The Hacker News, «WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts», 30 oct 2026; The Hacker News, «CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades», nov 2026; AICybr, «WordPress CVE-2026-119977: Upgrade-Window RCE and Fixed Versions», 2 nov 2026; The Hacker News, «WordPress Backdoor Rebuilds Itself After Cleanup Using Files, Database, and Shared Memory», oct 2026; TokenPost, «Defused Cyber Flags Exploit Attempts Against Critical WordPress Crypto Flaw», 3 nov 2026; Helix, ficha de CVE-2026-81648.