fuente: https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html
WordPress ha lanzado hoy parches para corregir una nueva serie de vulnerabilidades en el núcleo de su software; una de ellas podría permitir que un enlace web especialmente manipulado —al ser abierto por un administrador que haya iniciado sesión— instale un tema del directorio oficial de WordPress.org sin que nadie haga clic en el botón de instalación.
La firma de seguridad pwn.ai, cuyos investigadores reportaron el fallo, denomina «Click2Shell» a esta cadena de ataque. Por sí sola, la vulnerabilidad únicamente instala un tema legítimo elegido por el atacante, pero el equipo de investigación demostró que podía combinarse con una vulnerabilidad independiente presente en dicho tema para ejecutar código propio del atacante en el servidor.
La corrección se publicó el 17 de septiembre en la versión WordPress 7.1.1. Dado que se trata de una actualización de seguridad, WordPress recomienda instalarla de inmediato. No hay indicios de que el fallo se haya explotado en ataques reales.
El tema instalado permanece desactivado, por lo que la apariencia del sitio no cambia y nada parece anómalo. Para lograr la ejecución de código, era necesaria una segunda vulnerabilidad independiente en el tema instalado. Tal como señaló pwn.ai respecto al fallo en el núcleo: «El fallo del núcleo no acepta por sí solo un archivo ZIP de tema arbitrario».
Un grupo de hackers vinculado a China aprovechó una vulnerabilidad en Sogou Input Method —una de las herramientas más utilizadas para escribir caracteres chinos...
Leer artículo →Los administradores de Windows de todo el mundo se enfrentan a un error problemático en los Servicios de Escritorio remoto (RDS) que surgió inmediatamente despu...
Leer artículo →Cisco Talos informa que dos vulnerabilidades de Secure Firewall Management Center (FMC), recientemente corregidas, han sido explotadas por tres grupos de amenaz...
Leer artículo →