fuente: https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html
WordPress ha lanzado hoy parches para corregir una nueva serie de vulnerabilidades en el núcleo de su software; una de ellas podría permitir que un enlace web especialmente manipulado —al ser abierto por un administrador que haya iniciado sesión— instale un tema del directorio oficial de WordPress.org sin que nadie haga clic en el botón de instalación.
La firma de seguridad pwn.ai, cuyos investigadores reportaron el fallo, denomina «Click2Shell» a esta cadena de ataque. Por sí sola, la vulnerabilidad únicamente instala un tema legítimo elegido por el atacante, pero el equipo de investigación demostró que podía combinarse con una vulnerabilidad independiente presente en dicho tema para ejecutar código propio del atacante en el servidor.
La corrección se publicó el 17 de septiembre en la versión WordPress 7.1.1. Dado que se trata de una actualización de seguridad, WordPress recomienda instalarla de inmediato. No hay indicios de que el fallo se haya explotado en ataques reales.
El tema instalado permanece desactivado, por lo que la apariencia del sitio no cambia y nada parece anómalo. Para lograr la ejecución de código, era necesaria una segunda vulnerabilidad independiente en el tema instalado. Tal como señaló pwn.ai respecto al fallo en el núcleo: «El fallo del núcleo no acepta por sí solo un archivo ZIP de tema arbitrario».
El Proyecto Rust ha eliminado versiones maliciosas de tres crates de Rust ampliamente utilizados de crates.io después de que una cuenta de mantenedor comprometi...
Leer artículo →OpenAI ha anunciado la política de Cero Retención de Datos para los clientes elegibles de su API que utilizan sus modelos de IA de vanguardia, junto con un nuev...
Leer artículo →Citrix ha advertido a sus clientes que protejan inmediatamente sus sistemas contra dos vulnerabilidades que afectan a las soluciones de acceso remoto seguro Net...
Leer artículo →