Navegación

Se explotó una vulnerabilidad crítica de Elementor Pro para tomar el control de sitios de WordPress.

fuente: https://www.bleepingcomputer.com/news/security/critical-elementor-pro-flaw-exploited-to-take-over-wordpress-sites/

Una vulnerabilidad crítica recientemente corregida (CVE-2026-32475) en el plugin Elementor Pro para WordPress está siendo explotada en ataques que distribuyen una carga útil de webshell y ejecutan comandos arbitrarios en el servidor.

Elementor Pro es un popular plugin de WordPress con más de 6 millones de instalaciones activas, que permite a los usuarios crear sitios web mediante una interfaz de arrastrar y soltar.

La vulnerabilidad CVE-2026-32475 se corrigió el 19 de agosto. Desde entonces, el firewall de aplicaciones web Wordfence de Defiant ha bloqueado casi 200.000 intentos de explotación dirigidos a sus clientes.

El problema se origina en una validación defectuosa de los arrays de carga de archivos en los formularios de Elementor Pro y está presente en las versiones 4.2.1 y anteriores.

Al enviar un archivo vacío como primer elemento del array y un archivo PHP malicioso como segundo, los atacantes pueden provocar que el plugin deje de validar los archivos posteriores.

El archivo subido se almacena en /wp-content/uploads/elementor/forms/ y, posteriormente, se puede acceder a él para ejecutar comandos de forma remota.

La plataforma de ciberseguridad de WordPress, Patchstack, advirtió el mes pasado que los atacantes podrían explotar esta vulnerabilidad para subir archivos PHP arbitrarios y ejecutar código PHP en el servidor.

Últimas noticias

14 DE JUNIO, 2026

Hackers vinculados a China crearon una puerta trasera en el software de inicio de sesión de Linux para ocultarse durante casi una década

En lugar de ocultarse en los portátiles y servidores que los defensores vigilan más de cerca, un grupo vinculado a China pasó casi una década escondido dentro d...

Leer artículo
14 DE JUNIO, 2026

Google demanda a una red china de 'smishing' acusada de utilizar la IA Gemini en ataques de 'phishing'

Google informó este viernes que ha emprendido acciones legales contra una red de ciberdelincuencia china, acusándola de utilizar su agente de inteligencia artif...

Leer artículo
13 DE JUNIO, 2026

Una cadena de RCE sin autenticación previa en Splunk Enterprise expone la base de datos con cero autenticación

Se ha revelado una cadena de vulnerabilidades críticas en Splunk Enterprise que permite a atacantes no autenticados lograr la ejecución remota de código (RCE) a...

Leer artículo