Millones de sitios WordPress, bajo ataque
Más de seis millones de sitios de WordPress quedaron expuestos a una posible intrusión debido a dos vulnerabilidades críticas en los populares plugins Elementor Pro y Super Forms. Investigadores de Wordfence informaron de que ambas fallas ya se estaban utilizando en ataques reales. Es decir, no hablamos de un escenario teórico de laboratorio, sino de una forma perfectamente viable de entrar en sitios web.
Elementor Pro es un plugin comercial para crear páginas sin programar. Permite construir sitios con elementos prediseñados y añadir widgets, plantillas, formularios y ventanas emergentes. Está instalado en más de seis millones de sitios.
Antes de que se publicara la corrección, todas las versiones de Elementor Pro hasta la 4.2.1, incluida, tenían un fallo que permitía subir archivos sin restricciones de tipo. La vulnerabilidad recibió la identificación CVE-2026-32475 y una puntuación de 9,8 sobre 10: nivel crítico. El atacante no necesitaba una cuenta; en determinadas condiciones, podía subir un archivo ejecutable al sitio y conseguir la ejecución remota de código.
Para llevar a cabo el ataque, el sitio debía tener publicada una página con un widget de formulario de Elementor Pro que incluyera al menos un campo opcional para subir archivos. La corrección se publicó a mediados de agosto de 2026. Según Wordfence, sus especialistas bloquearon más de 190.000 intentos de explotación.
Por las mismas fechas, los investigadores detectaron un problema parecido en Super Forms, un creador de formularios con interfaz de arrastrar y soltar. El plugin tiene unas 13.000 instalaciones activas y todas las versiones hasta la 6.3.313, incluida, eran vulnerables.
El fallo permitía a usuarios no autenticados subir archivos arbitrarios, incluidos ejecutables. Esto también abría la puerta a la ejecución remota de código. La vulnerabilidad se registró con el número CVE-2026-14894 y recibió también una puntuación de 9,8 sobre 10, de gravedad crítica. La corrección para Super Forms se publicó hace unas semanas.
Wordfence registró más de 250.000 intentos de ataque contra este plugin. En total, el número de intentos detectados o bloqueados por las dos vulnerabilidades llegó a unos 440.000.
Se recomienda a los propietarios de sitios actualizar de inmediato Elementor Pro y Super Forms a versiones seguras, además de revisar los registros del servidor y las cuentas de administrador para detectar indicios de intrusión. En este caso, la popularidad de los plugins se volvió en contra de sus usuarios: cuanto más extendida está una herramienta, más atractiva resulta para quien busca una sola llave que abra muchas puertas.
PEREC.RU
Dos vulnerabilidades críticas en dos populares plugins de WordPress —Elementor Pro y Super Forms— pusieron en riesgo numerosos sitios. Investigadores de Wordfence informaron de que los fallos ya se estaban explotando en ataques reales.
Elementor Pro está instalado en más de seis millones de sitios. Las versiones hasta la 4.2.1, incluida, contenían la vulnerabilidad CVE-2026-32475, relacionada con la subida de archivos sin restricciones. Un atacante no autenticado podía cargar un archivo ejecutable y obtener la posibilidad de ejecutar código de forma remota. Para explotar el fallo, el sitio debía tener una página publicada con un widget de formulario de Elementor Pro y al menos un campo opcional para subir archivos. La vulnerabilidad recibió una puntuación crítica de 9,8 sobre 10. La corrección se publicó a mediados de agosto de 2026 y Wordfence bloqueó más de 190.000 intentos de ataque.
Se detectó un fallo parecido en Super Forms, un plugin para crear formularios que cuenta con unas 13.000 instalaciones activas. Todas las versiones hasta la 6.3.313, incluida, permitían a usuarios no autenticados subir archivos arbitrarios, también ejecutables. La vulnerabilidad se registró como CVE-2026-14894 y obtuvo asimismo una puntuación de 9,8 sobre 10. La corrección se publicó hace unas semanas.
Wordfence registró más de 250.000 intentos de explotar la vulnerabilidad de Super Forms. En conjunto, los investigadores contabilizaron unos 440.000 ataques contra los dos plugins.
Se recomienda a los propietarios de sitios actualizar de inmediato ambos plugins a versiones corregidas. Después, conviene revisar los registros del servidor, el contenido del sitio y las cuentas de administrador, porque instalar un parche no elimina las posibles consecuencias de una intrusión anterior. El caso demuestra con claridad que la popularidad de un plugin convierte cualquier fallo descubierto en una herramienta universal para atacar muchos sitios a la vez.
