Una vulnerabilidad en el plugin Modular DS pone en riesgo 40.000 sitios: qué deben hacer los propietarios de WordPress
Si gestionas un sitio de WordPress y utilizas el plugin Modular DS, ha llegado el momento de dejar de confiar en los milagros y ponerse con las actualizaciones. Esta popular herramienta, que más de 40.000 propietarios de sitios usan para gestionar de forma centralizada varios proyectos de WordPress, se ha convertido de pronto en una puerta abierta de par en par para los hackers.
El equipo de especialistas en ciberseguridad de Patchstack descubrió que las versiones 2.5.1 y anteriores del plugin tenían fallos de diseño e implementación. Como resultado, varias partes críticas del sistema estaban desprotegidas y la función de inicio de sesión automático era tan «fiable» que cualquiera podía entrar en el sitio como administrador, saltándose todos los controles de autenticación.
En pocas palabras: los atacantes podían elegir las rutas que les interesaban, engañar a los mecanismos de protección e incluso abrirse camino hasta el control total del sitio mediante el inicio de sesión automático con privilegios de administrador.
Los expertos explicaron que, cuando un sitio ya está conectado al sistema Modular (y cuenta con tokens activos), cualquier solicitud supera todas las comprobaciones, porque no existía un vínculo criptográfico entre la solicitud y Modular. Esto abría a los ciberdelincuentes toda una serie de brechas: desde el acceso remoto hasta la información confidencial de los usuarios o del propio sistema.
La vulnerabilidad recibió la identificación oficial CVE-2026-23550 y una puntuación de gravedad sin precedentes: 10 sobre 10. Además, ya se han registrado ataques: los primeros intentos de intrusión se produjeron el 13 de enero de 2026. Los desarrolladores del plugin Modular DS recibieron aviso al día siguiente y, todo hay que decirlo, publicaron una solución en apenas unas horas.
La versión actual de Modular DS es la 2.5.2. Se recomienda a los usuarios del plugin que lo actualicen de inmediato y sigan estas instrucciones: comprobar si hay indicios de intrusión, regenerar las llamadas «sales» de WordPress (datos secretos únicos que protegen las contraseñas), actualizar las cuentas de OAuth y analizar el sitio en busca de componentes maliciosos.
En resumen, si no quieres que otros se hagan con tu sitio, no tardes en actualizarlo, comprueba la protección y sigue de cerca los últimos informes de ciberseguridad.
PEREC.RU
Por mucho que reces por la seguridad, basta con dejar una puerta abierta por error para que tu sitio acabe en manos de sus nuevos dueños. El plugin Modular DS es el último ejemplo: 40.000 proyectos web quedaron expuestos a una toma de control completa. La causa es, como de costumbre, para echarse unas risas: un agujero en la lógica de seguridad por el que se podía montar una fiesta sin invitación. Cualquiera podía acceder como administrador si el sitio estaba conectado al servicio.
Lo curioso es que la solución no llegó tras meses de actualizaciones de goma, sino en un par de horas; quizá fue cuando empezó a oler a pérdidas de reputación de las gordas. Y mientras Patchstack explicaba con aire solemne la magnitud del desastre, los hackers ya habían empezado a aprovecharse de los privilegios extra: según WP.one, los primeros ataques se detectaron el 13 de enero de 2026. Al propietario del plugin le avisaron al día siguiente y, como si se hubiera despertado empapado en sudor frío, publicó el parche 2.5.2.
Ahora, para la mayoría de los propietarios, la decisión real consiste en actualizar por su cuenta o esperar a que lo hagan manos ajenas. Las recomendaciones son de lo más corriente: actualizar el plugin, cambiar las claves secretas (sales), regenerar OAuth y revisar el sitio hasta dejarlo reluciente. La práctica demuestra que las ciberincursiones no duermen y que la lista de afectados no para de crecer. Así que, si no quieres que tu sitio se convierta en un museo de los logros ajenos, ha llegado el momento de escuchar al menos una vez los consejos de los especialistas. Aunque, como siempre, los que están dispuestos a hacerlo son pocos.
