fuente: https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html
WordPress ha lanzado hoy parches para corregir una nueva serie de vulnerabilidades en el núcleo de su software; una de ellas podría permitir que un enlace web especialmente manipulado —al ser abierto por un administrador que haya iniciado sesión— instale un tema del directorio oficial de WordPress.org sin que nadie haga clic en el botón de instalación.
La firma de seguridad pwn.ai, cuyos investigadores reportaron el fallo, denomina «Click2Shell» a esta cadena de ataque. Por sí sola, la vulnerabilidad únicamente instala un tema legítimo elegido por el atacante, pero el equipo de investigación demostró que podía combinarse con una vulnerabilidad independiente presente en dicho tema para ejecutar código propio del atacante en el servidor.
La corrección se publicó el 17 de septiembre en la versión WordPress 7.1.1. Dado que se trata de una actualización de seguridad, WordPress recomienda instalarla de inmediato. No hay indicios de que el fallo se haya explotado en ataques reales.
El tema instalado permanece desactivado, por lo que la apariencia del sitio no cambia y nada parece anómalo. Para lograr la ejecución de código, era necesaria una segunda vulnerabilidad independiente en el tema instalado. Tal como señaló pwn.ai respecto al fallo en el núcleo: «El fallo del núcleo no acepta por sí solo un archivo ZIP de tema arbitrario».
OpenAI ha ampliado su programa Daybreak para ofrecer a los expertos en seguridad un acceso más profundo a los modelos de IA de vanguardia, introduciendo dos niv...
Leer artículo →Google Maps evoluciona hacia una IA agéntica mediante la integración de Gemini y Ask Maps, permitiéndole ejecutar acciones como pedir comida o reservar hoteles...
Leer artículo →Microsoft ha revelado que Storm-1175, un grupo de ciberdelincuentes vinculado a China con fines lucrativos, ha desplegado una variante de ransomware hasta ahora...
Leer artículo →