50.000 sitios de WordPress, en riesgo por una vulnerabilidad de un plugin
Cerca de 50.000 sitios de WordPress están en riesgo real de ser secuestrados por completo debido a una vulnerabilidad crítica descubierta recientemente en un popular plugin. A mediados de diciembre de 2025, el investigador de ciberseguridad Andrea Bocchetti informó del problema a la empresa Wordfence. El fallo se encontraba en Advanced Custom Fields: Extended, una extensión del plugin principal Advanced Custom Fields (ACF) que permite a los usuarios añadir campos personalizados a entradas y páginas. A día de hoy, ACF se utiliza oficialmente en unos 100.000 sitios de WordPress.
La vulnerabilidad es de una sencillez pasmosa: las restricciones de permisos en los formularios para crear o editar usuarios no funcionaban como debían. Es decir, cualquier usuario no autenticado podía utilizar un formulario con el campo correspondiente para asignarse el rol de administrador y hacerse con el control total del sitio. Wordfence señaló directamente que se trataba de una típica escalada de privilegios, que podía dejar el sitio en manos de un atacante sin mayores dificultades.
La vulnerabilidad afectaba a las versiones del plugin hasta la 0.9.2.1 incluida. Se le asignó el identificador CVE-2025-14533 y la máxima puntuación de peligrosidad: 9,8 sobre 10. Sin embargo, para explotar el fallo hace falta una situación poco habitual: el sitio debe tener un formulario de «crear usuario» (o «actualizar usuario») que permita elegir el rol. Pero es un consuelo pobre: los usuarios rara vez leen la documentación de los plugins y a quienes copian y pegan les encanta montar formularios a toda prisa.
Los desarrolladores publicaron bastante rápido una versión corregida, la 0.9.2.2. Según WordPress, cuando se escribió este texto unos 50.000 sitios ya se habían actualizado y otros tantos seguían expuestos a posibles ataques.
Por ahora no se han detectado indicios de explotación a gran escala. Sin embargo, tras hacerse público, el fallo se convierte en un bocado apetecible para los ciberdelincuentes: cualquier aficionado al pentesting, o hacker no muy ducho, seguramente probará suerte en los sitios de WordPress olvidados por sus responsables de seguridad.
PEREC.RU
Las noticias sobre WordPress y sus plugins traen sin falta nuevos «agujeros» de internet que luego los administradores web tienen que tapar. Esta vez han caído nada menos que 50.000 sitios, no por obra de unos misteriosos hackers, sino por la negligencia de siempre y la comodidad barata. Advanced Custom Fields: Extended, el plugin favorito de los administradores perezosos para añadir «campos especiales», permitía a cualquiera nombrarse jefe desde un formulario del sitio. El resultado era previsible: la ciberseguridad se convirtió de pronto en entretenimiento para todos.
Los desarrolladores, claro, publicaron un parche y siguen confiando en el sentido común de los usuarios. El problema es que el sentido común y las actualizaciones no suelen ir de la mano: la mitad de los sitios siguen usando versiones agujereadas. Oficialmente no se han detectado ataques masivos, pero sabemos perfectamente que, cuando nadie mira, alguien seguro que está trasteando.
En resumen: una noticia para quienes no creen en milagros. La vulnerabilidad es crítica: actualizaos o preparaos para recibir nuevos jefes en vuestros sitios. Quien no se esconda, pronto tendrá un WordPress que ya no será solo suyo.
