Tu sitio pudo haber sido hackeado sin que nadie tocara una contraseña. En sitios de WordPress: hay una vulnerabilidad de la que probablemente no habías oído hablar hace un mes y que hoy es una de las razones más probables detrás de accesos no autorizados que no logran explicarse de otra forma. Se llama wp2shell, afecta al núcleo de WordPress —no a un plugin de tercero cualquiera— y desde finales de julio de 2026 está siendo explotada activamente.
¿Qué es exactamente?
wp2shell no es una sola falla, sino una cadena de dos vulnerabilidades que, combinadas, permiten ejecutar código en el servidor sin necesidad de iniciar sesión, sin interacción del usuario y sin depender de ningún plugin instalado:
- CVE-2026-63030: un error de confusión de rutas en el manejo de solicitudes por lotes (batch) de la API REST de WordPress, introducido en la versión 6.9.
- CVE-2026-60137: una inyección SQL en el parámetro
author__not_indeWP_Query, que no valida correctamente el tipo de dato recibido.
Por separado, cada una es seria. Encadenadas, permiten que un atacante no autenticado tome control completo de un sitio WordPress desde cero, sin credenciales previas.
¿A quién afecta?
WordPress 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1. Si tu sitio está en cualquiera de esos rangos, es vulnerable ahora mismo. El parche llegó con las versiones 6.9.5 y 7.0.2, publicadas el 17 de julio de 2026.
Vale aclarar algo que mucha gente pasa por alto: esto no depende de qué plugins tengas instalados ni de qué tan «cuidado» tengas tu sitio en otros aspectos. Es una falla del núcleo, así que un WordPress «limpio» recién instalado, sin plugins de terceros, es tan vulnerable como cualquier otro si corre una versión afectada.
¿Por qué ya no es solo una advertencia teórica?
A los pocos días de conocerse los detalles técnicos, aparecieron múltiples pruebas de concepto públicas, y CISA (la agencia de ciberseguridad de EE. UU.) añadió ambos CVE a su catálogo de vulnerabilidades explotadas activamente el 21 de julio. Eso significa que dejó de ser «una falla que se podría explotar» para convertirse en «una falla que se está explotando ahora mismo, a escala».
Lo que aprendimos revisando un caso real
Hace poco auditamos un servidor con más de 150 instalaciones de WordPress de distintos clientes tras detectar actividad sospechosa en uno de los sitios. Lo que encontramos es un buen resumen de por qué esta vulnerabilidad es tan peligrosa en la práctica:
El atacante había creado cuentas de administrador con nombres como wp2_xxxxxx —literalmente basados en el nombre de la vulnerabilidad que usó para entrar. Cuando vimos ese patrón repetido en varios sitios sin relación aparente entre sí, la explicación más simple no era «todos compartían la misma contraseña débil», sino que todos corrían una versión vulnerable del núcleo.
En algunos casos, el acceso inicial se usó para instalar plugins con nombres genéricos y aburridos («optimizador de caché», «importador de contenido») que en realidad escondían webshells completos o incluso un tipo de backdoor mucho más sofisticado: un usuario administrador que se oculta a sí mismo de la lista de usuarios, de la API REST y de los menús del panel, y que además bloquea su propio borrado si alguien intenta eliminarlo desde WordPress.
Ninguno de estos rastros se ve navegando el sitio normalmente. Hace falta revisar directamente la base de datos y el sistema de archivos para encontrarlos.
Esto último es la parte que más cuesta transmitir: un sitio puede verse y funcionar perfectamente mientras tiene un administrador oculto con acceso total, esperando el momento de usarlo.
La trampa de «ya actualicé, ya estoy tranquilo»
Actualizar a 6.9.5 o 7.0.2 cierra la puerta de entrada, pero si el atacante ya entró antes de que actualizaras, esa actualización no lo saca de tu sitio. Es como cambiar la cerradura de una puerta después de que alguien ya copió una llave y dejó una segunda entrada escondida en la casa.
Por eso, si tu sitio estuvo en una versión vulnerable en algún momento entre julio 2026 y ahora, actualizar el núcleo es el primer paso, no el único.
Checklist de respuesta
- Verifica la versión de WordPress de cada sitio que administres. Si está en 6.9.0–6.9.4 o 7.0.0–7.0.1, actualiza de inmediato a la versión más reciente disponible.
- Revisa la lista de usuarios administradores buscando cuentas que no reconozcas, prestando especial atención a nombres de usuario con prefijos raros, sufijos hexadecimales, o correos con dominios que no correspondan a nadie de tu equipo.
- No confíes solo en lo que ves en el panel de WordPress. Si sospechas compromiso, hace falta consultar la base de datos directamente, porque un backdoor bien hecho se oculta de las vistas normales del panel.
- Revisa plugins y mu-plugins que no recuerdes haber instalado, sobre todo los que tienen nombres genéricos relacionados con «caché», «rendimiento» u «optimización».
- Si encuentras cualquier indicio de compromiso, trata todas las contraseñas y claves de ese sitio como comprometidas —no solo la del usuario afectado.
Preguntas frecuentes
¿Actualizar WordPress automáticamente me protege? Sí, si las actualizaciones automáticas de núcleo están activadas y funcionando, tu sitio ya debería estar en una versión parchada. Igual vale la pena confirmarlo manualmente.
¿Esto afecta solo a sitios grandes o con mucho tráfico? No. La explotación es automatizada; los atacantes no eligen objetivos «a mano», así que un sitio pequeño con poco tráfico es tan objetivo como uno grande.
¿Cómo sé si ya fue explotado en mi caso? Las señales más claras son cuentas de administrador que no reconoces, plugins que no instalaste tú, y comportamiento inesperado del sitio (redirecciones, contenido extraño en páginas específicas). Pero la ausencia de síntomas visibles no garantiza que el sitio esté limpio.
¿Vale la pena una auditoría aunque no veas nada raro? Si tu sitio estuvo en una versión vulnerable durante la ventana de explotación activa (desde finales de julio de 2026), sí. El objetivo de un backdoor bien diseñado es precisamente que no se note.
wp2shell es un buen recordatorio de algo que se repite cada cierto tiempo en el mundo de WordPress: la mayor parte de los compromisos serios no vienen de contraseñas débiles ni de errores del usuario, sino de núcleo o plugins desactualizados. Mantener WordPress al día no es una tarea de mantenimiento menor, es, en la práctica, la defensa más efectiva que existe.
Si tu sitio web está con nosotros, siéntete tranquilo
Ya nos encargamos de esto por ti. En cada instalación afectada actualizamos el núcleo de WordPress, revisamos y eliminamos cuentas de administrador no autorizadas, y reforzamos los mecanismos de detección para identificar automáticamente cualquier intento futuro de explotación.
Nuestros servicios se caracterizan por ser claros, honestos y éticos. Nuestra prioridad es tu tranquilidad en la web.
