Navegación

Se explotó una vulnerabilidad crítica de Elementor Pro para tomar el control de sitios de WordPress.

fuente: https://www.bleepingcomputer.com/news/security/critical-elementor-pro-flaw-exploited-to-take-over-wordpress-sites/

Una vulnerabilidad crítica recientemente corregida (CVE-2026-32475) en el plugin Elementor Pro para WordPress está siendo explotada en ataques que distribuyen una carga útil de webshell y ejecutan comandos arbitrarios en el servidor.

Elementor Pro es un popular plugin de WordPress con más de 6 millones de instalaciones activas, que permite a los usuarios crear sitios web mediante una interfaz de arrastrar y soltar.

La vulnerabilidad CVE-2026-32475 se corrigió el 19 de agosto. Desde entonces, el firewall de aplicaciones web Wordfence de Defiant ha bloqueado casi 200.000 intentos de explotación dirigidos a sus clientes.

El problema se origina en una validación defectuosa de los arrays de carga de archivos en los formularios de Elementor Pro y está presente en las versiones 4.2.1 y anteriores.

Al enviar un archivo vacío como primer elemento del array y un archivo PHP malicioso como segundo, los atacantes pueden provocar que el plugin deje de validar los archivos posteriores.

El archivo subido se almacena en /wp-content/uploads/elementor/forms/ y, posteriormente, se puede acceder a él para ejecutar comandos de forma remota.

La plataforma de ciberseguridad de WordPress, Patchstack, advirtió el mes pasado que los atacantes podrían explotar esta vulnerabilidad para subir archivos PHP arbitrarios y ejecutar código PHP en el servidor.

Últimas noticias

05 DE SEPTIEMBRE, 2026

El cliente de escritorio de Microsoft Teams no se carga en sistemas Windows – Microsoft está investigando.

Microsoft está investigando un problema que provoca que algunos usuarios de Windows experimenten retrasos significativos o incluso fallos al iniciar el cliente...

Leer artículo
05 DE SEPTIEMBRE, 2026

Google Workspace integra las funciones de Gemini Live.

A medida que la inteligencia artificial generativa evoluciona progresivamente, pasando de las indicaciones de texto estático a las interacciones de voz bidirecc...

Leer artículo
05 DE SEPTIEMBRE, 2026

Trezor afirma que la filtración de datos de ShipMonk expuso la información de 67.000 clientes estadounidenses.

El fabricante de monederos de hardware Trezor reveló el viernes que otros 67.000 clientes de EE. UU. se vieron afectados por una filtración de datos en su prove...

Leer artículo