Los hackers están explotando masivamente dos vulnerabilidades de WordPress.

      Si administras un sitio de WordPress, el consejo de esta semana es contundente: actualízalo ahora. Dos fallos en el software están siendo explotados activamente en internet. WordPress impulsa más de la mitad de todos los sitios web en línea, por lo que el radio de impacto es enorme. Las empresas de seguridad dicen que los ataques comenzaron dentro de unas horas después de la solución. Un modelo de IA está presente en ambos lados de la historia.

      ¿Qué es wp2shell?

      WordPress lanzó los parches el viernes, en las versiones 7.0.2 y 6.9.5. Activó las actualizaciones automáticas forzadas debido al riesgo. Los investigadores llaman al fallo wp2shell.

      Combina dos errores. Uno es un problema de inyección SQL. El otro, calificado como crítico con un 9.8 de 10 por TechRadar, es un error de confusión de rutas en la API REST que permite que una solicitud omita la autenticación. Por separado, son complicados. Encadenados, le dan a un atacante anónimo control remoto total.

      El 💜 de la tecnología de la UE

      Los últimos rumores de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris, y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Regístrate ahora!

      “El ataque no tiene precondiciones”, dijo Searchlight Cyber, cuyo investigador Adam Kues lo encontró y lo reportó. Funciona en una instalación de WordPress estándar sin plugins.

      La IA lo encontró, y la IA lo está armando

      Aquí está la parte que inquieta al mundo de la seguridad. Kues no encontró la cadena a mano. Usó el GPT-5.6 de OpenAI en unas 10 horas, un trabajo que su empresa estimó podría valer $500,000 de los corredores de explotación.

      Las mismas herramientas se utilizan en sentido contrario. “Reproducirlas con la ayuda de modelos de IA de frontera era solo cuestión de tiempo y tokens”, dijo el investigador Jake Knott de watchTowr a The Register. Su equipo recreó el error crítico en minutos.

      El fundador de watchTowr, Benjamin Harris, expuso el cambio claramente a SecurityWeek. Los exploits de prueba de concepto aparecieron en cuestión de horas, dijo, donde antes tardaban un día. “La ventana entre la divulgación y la explotación se ha colapsado.”

      Lo que están haciendo los atacantes

      Para el sábado por la mañana, los ataques estaban bien en marcha. Primero llegó el código de explotación pública para robar contraseñas hash. Luego vino la ejecución remota de código, a medida que se filtraron más detalles.

      Los honeypots de watchTowr registraron decenas de miles de intentos y más de 100 cuentas de administrador de puerta trasera, creadas por diferentes grupos. VulnCheck verificó más de dos docenas de exploits distintos para el domingo.

      Una vez dentro, los atacantes plantan plugins falsos, cosechan credenciales y obtienen más herramientas. En un caso, watchTowr observó a un grupo intentar instalar Overlord RAT, un troyano de acceso remoto. Otro payload ocultó un shell web dentro de un plugin de seguridad falso.

      Cuántos sitios están expuestos

      Nadie tiene un conteo preciso. Más de 400 millones de sitios ejecutan las versiones afectadas, aunque muchos ya han sido parcheados. El consultor Daniel Card le dijo a TechCrunch que muestreó alrededor de 3,500 sitios y puso la parte vulnerable por debajo del 15%, lo que aún resulta cerca de 90 millones.

      Los datos de Wiz, ahora propiedad de Google, contaron una historia similar a The Hacker News. Encontró que el 60% de las organizaciones que ejecutan WordPress tenían al menos una instancia expuesta cuando los errores se hicieron públicos. Una cuarta parte tenía un servidor vulnerable expuesto a internet.

      El daño fue atenuado por las defensas ya implementadas. WordPress forzó actualizaciones automáticas, Cloudflare bloqueó ataques en su firewall, y Automattic dijo que sus sitios alojados estaban protegidos antes de que se lanzara el parche.

      La advertencia más grande

      El riesgo sigue siendo real para cualquiera que se haya retrasado. Matt Mullenweg, cofundador de WordPress, lo llamó una especie de toma de control previa a la autenticación que se ha visto solo unas pocas veces en los 23 años de historia del software. Esto cierra un período difícil de sustos de seguridad en WordPress.

      El consejo de Knott es más contundente. Cualquier sitio que esperó hasta el lunes para parchear probablemente ya esté comprometido, dijo, así que verifica si hay cuentas de administrador extraviadas incluso después de actualizar. Esta es la señal más reciente de que la seguridad de la IA ahora se mueve a la velocidad de la máquina, semanas después de que un agente de IA violara Hugging Face por su cuenta. Los defensores deben mantener el ritmo.