Un complemento vulnerable de WooCommerce abrió la puerta a los hackers
Los atacantes están aprovechando activamente una vulnerabilidad crítica de un popular complemento para WooCommerce. La brecha permite subir archivos maliciosos a sitios web, incluidos webshells PHP, y, en el peor de los casos, hacerse con el control total del sitio.
Se trata de Wholesale Lead Capture Plugin for WooCommerce. Este complemento de pago está pensado para empresas que trabajan con clientes mayoristas y B2B. Añade funciones de registro y configuración inicial de perfiles, permite recopilar información de la empresa y otros datos de los usuarios, revisar solicitudes, asignar roles de usuario mayorista y enviar automáticamente correos sobre el registro y la activación.
El complemento cuesta entre 99 y 600 dólares. Según su página en el directorio de WordPress, tiene más de 20 000 instalaciones activas. En otras palabras, la zona de riesgo potencial abarca bastante más que una página olvidada con un formulario de prueba.
La vulnerabilidad, identificada como CVE-2026-27540, tiene una puntuación crítica de 9,0 sobre 10. Se trata de un fallo que permite subir archivos arbitrarios sin autenticación: el atacante no necesita iniciar sesión para enviar al servidor el archivo que elija. Si el servidor permite ejecutar código PHP, ese archivo puede convertirse en una webshell, una herramienta oculta para controlar el sitio a través del navegador.
El problema afectaba a la versión 2.0.3.1 y a las anteriores. La versión corregida, la 2.0.3.2, salió el 20 de febrero, así que el parche lleva casi medio año disponible. Pero que haya una actualización no significa, como de costumbre, que alguien la haya instalado.
Defiant, la empresa que desarrolla el servicio de protección Wordfence para WordPress, informó de que su cortafuegos había bloqueado más de 100 000 ataques. Los investigadores detectaron dos picos claros de actividad: del 4 al 17 de junio y del 1 de julio al 30 de agosto.
En la mayoría de los casos registrados, los atacantes subieron webshells de reconocimiento. Probablemente primero inspeccionaban el entorno del sitio —los archivos, la configuración y las posibilidades del servidor— y después podían pasar a instalar malware más peligroso.
Según los investigadores, el archivo shell.php recopilaba información del host y ofrecía en el navegador un formulario para subir otros archivos maliciosos. Así, un sitio normal se convierte en un cómodo punto de entrada: primero se inspecciona el terreno y luego se amplía el ataque.
Se recomienda a los propietarios de sitios que utilicen este complemento actualizarlo de inmediato a la última versión. Después de actualizarlo, deben revisar los directorios de subidas para localizar archivos PHP inesperados o creados recientemente. La actualización cierra la brecha conocida, pero no elimina automáticamente los archivos que pudieran haberse subido antes de instalar la corrección.
PEREC.RU
El artículo trata de la explotación activa de una vulnerabilidad crítica en Wholesale Lead Capture Plugin for WooCommerce, un complemento de pago para sitios WordPress que usan WooCommerce. Las empresas lo utilizan para registrar y gestionar inicialmente a clientes mayoristas y B2B: permite recopilar información de las empresas y otros datos de los usuarios, revisar solicitudes, asignar roles de mayorista y automatizar el envío de correos sobre el registro y la activación.
El número de instalaciones potencialmente afectadas supera las 20 000. El complemento cuesta entre 99 y 600 dólares. La vulnerabilidad lleva el identificador CVE-2026-27540 y una puntuación crítica de 9,0 sobre 10. Consiste en la posibilidad de subir cualquier archivo sin autenticación. Según la configuración del servidor, esto puede permitir subir una webshell PHP, ejecutar código malicioso y hacerse con el control total del sitio.
Las versiones vulnerables eran la 2.0.3.1 y las anteriores. La versión corregida, la 2.0.3.2, se publicó el 20 de febrero, por lo que la actualización lleva casi medio año disponible. Aun así, los ataques continúan. Defiant informó de que el cortafuegos de Wordfence había bloqueado más de 100 000 ataques. Se observaron dos picos de actividad, del 4 al 17 de junio y del 1 de julio al 30 de agosto.
En la mayoría de los casos, los atacantes subieron webshells de reconocimiento. Podían utilizarlas para analizar la configuración y los archivos del sitio antes de instalar malware más grave. Los investigadores describieron shell.php: el archivo recopila información del host y ofrece un formulario en el navegador para subir otros archivos maliciosos al sitio.
Se recomienda a los propietarios de sitios actualizar el complemento de inmediato a la última versión y revisar los directorios de subidas en busca de archivos PHP inesperados o creados recientemente. Hay un detalle importante: instalar la corrección cierra la vía de ataque conocida, pero no necesariamente elimina los archivos maliciosos que se hayan subido antes. Por tanto, después de actualizar hay que revisar el sitio por separado y, si hace falta, analizar los registros del servidor.
