La semana pasada, el ecosistema de WordPress se enfrentó a una de las crisis de seguridad más graves de los últimos años. Dos vulnerabilidades crÃticas, bautizadas conjuntamente como wp2shell, permiten a cualquier atacante tomar el control remoto de un sitio sin necesidad de credenciales. La noticia ha movilizado a los servicios de inteligencia españoles, como el CNI y el CCN-CERT, que ya siguen de cerca la evolución de los ataques.
Los fallos afectan a las versiones 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1 de WordPress, y se estima que más de 400 millones de sitios web en todo el mundo utilizan alguna de estas ediciones. Aunque WordPress ha lanzado parches de emergencia y activado actualizaciones automáticas forzadas, los expertos advierten que decenas de millones de páginas siguen sin proteger, lo que las convierte en un blanco fácil para los ciberdelincuentes.
¿Qué es wp2shell y cómo funciona?
wp2shell no es una única vulnerabilidad, sino la combinación de dos errores en el núcleo de WordPress. El primero, registrado como CVE-2026-63030, es una confusión en el enrutamiento del endpoint /wp-json/batch/v1 de la API REST, que permite a un atacante enviar peticiones que el servidor interpreta de forma incorrecta. El segundo, CVE-2026-60137, es una inyección SQL en el parámetro author__not_in de la clase WP_Query.
Por separado, cada fallo es grave; juntos, forman una cadena letal. La confusión de rutas permite eludir los controles de autenticación, y la inyección SQL permite extraer datos y, finalmente, escribir un archivo malicioso en el servidor que otorga un shell remoto. Según Searchlight Cyber, la firma que descubrió las vulnerabilidades, el ataque no requiere condiciones previas y funciona en instalaciones por defecto de WordPress, sin necesidad de plugins adicionales.
Explotación activa y respuesta de WordPress
Desde que se publicaron los parches el 17 de julio, varias empresas de ciberseguridad como Patchstack, Hexastrike y WatchTowr han confirmado que los atacantes ya están explotando activamente estas vulnerabilidades en sitios que no se han actualizado. Benjamin Harris, CEO de WatchTowr, señaló que la velocidad de creación de exploits demuestra una alarmante tendencia hacia la automatización del cibercrimen, y que la inteligencia artificial está acelerando tanto el descubrimiento como la weaponización de fallos.
WordPress reaccionó con una medida excepcional: activó actualizaciones automáticas forzadas para todas las versiones afectadas, algo que solo ocurre en casos de extrema gravedad. Las versiones 6.9.0 a 6.9.4 se actualizan a 6.9.5, y las 7.0.0 y 7.0.1 a 7.0.2. Sin embargo, el consultor de seguridad Daniel Card estima que alrededor de 90 millones de sitios podrÃan seguir siendo vulnerables, a pesar de los esfuerzos de actualización automática y de la protección que ofrecen servicios como Cloudflare.
Impacto en España y Europa
La amenaza ha llegado a las puertas de las instituciones españolas. El CNI y el CCN-CERT han elevado el nivel de alerta y están monitorizando la situación, ya que una parte significativa de la administración periférica y de las pymes estratégicas en España utiliza WordPress. En Europa, otros CERT nacionales también han emitido avisos, y se teme que grupos de amenaza persistente avanzada (APT) como APT29 o Volt Typhoon puedan estar escaneando internet en busca de objetivos sin parchear.
La cadena de ataque wp2shell es especialmente peligrosa porque no requiere interacción del usuario ni credenciales. Cualquier sitio con una versión vulnerable puede ser comprometido de forma remota. Los expertos advierten que, si aparece un gusano que automatice la explotación, podrÃamos estar ante un evento similar al WannaCry, pero en el ecosistema WordPress, con consecuencias devastadoras para miles de empresas y organismos públicos.
Recomendaciones para administradores
La prioridad absoluta es actualizar el núcleo de WordPress a las versiones 6.9.5, 7.0.2 o superiores. Aunque las actualizaciones automáticas están activadas, es recomendable verificar manualmente que el parche se ha aplicado correctamente, ya que algunas configuraciones pueden impedir la actualización forzada. Además, se puede utilizar el verificador gratuito publicado por Searchlight Cyber para confirmar si un sitio es vulnerable.
Como medida temporal, los administradores pueden bloquear el acceso anónimo al endpoint /wp-json/batch/v1 mediante un cortafuegos de aplicaciones web (WAF). Cloudflare ya ha implementado reglas de mitigación, pero estas soluciones no sustituyen la actualización del software. También se recomienda activar la autenticación de dos factores para todos los usuarios con privilegios y segmentar WordPress del resto de la infraestructura crÃtica si se usa solo para contenido público.
La crisis de wp2shell demuestra que la seguridad de WordPress ya no depende solo de plugins o temas de terceros, sino del propio núcleo. La velocidad de parcheo y la implementación de defensas en profundidad son más cruciales que nunca. Con la inteligencia artificial acelerando tanto el descubrimiento como la explotación de vulnerabilidades, la ventana de reacción se ha reducido a horas. Para los administradores de sitios en España y Europa, la lección es clara: actualizar ya no es una opción, es una obligación.
