Tres amenazas están poniendo bajo presión a sitios WordPress vinculados con el ecosistema cripto: una vulnerabilidad del núcleo explotada durante las actualizaciones, una puerta trasera capaz de reinstalarse después de ser eliminada y un plugin de pagos con criptomonedas que presenta una falla crítica sin parche disponible.
El riesgo no se limita al robo de datos. Un sitio comprometido puede utilizarse para mostrar falsas ofertas de compensación, redirigir pagos o insertar código destinado a intentar vaciar las billeteras de sus visitantes. La alerta llega además en un momento de elevada actividad contra el sector: entre el 29 de octubre y el 6 de noviembre se contabilizaron ocho incidentes de seguridad en empresas cripto y bancos.
Una vulnerabilidad del núcleo se activa durante las actualizaciones
WordPress publicó el 28 de octubre la versión 7.1.4 para corregir la vulnerabilidad CVE-2026-119977, también identificada en el aviso GHSA-4w3m-c66w-69mg. El problema afecta a versiones comprendidas entre la 4.7 y la 7.1.3.
Durante una actualización completa, los archivos nuevos del sistema, incluido el instalador, se descomprimen durante unos instantes en una ubicación predecible y accesible desde internet dentro de wp-content/upgrade. Un atacante que consiga aprovechar esa ventana podría ejecutar código en el servidor sin disponer de una cuenta.
La explotación requiere sincronizar el ataque con el proceso de actualización, pero los intentos se han producido a escala. Wordfence informó de 62.969 bloqueos en las 24 horas anteriores al 30 de octubre y todavía registraba unos 20.000 intentos diarios el 3 de noviembre. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incorporó la vulnerabilidad a su catálogo de fallos explotados.
Existe además una diferencia entre las valoraciones de riesgo. WordPress la considera de gravedad baja, mientras que Wordfence le asigna una puntuación de 8,1 sobre 10. Las versiones mínimas corregidas son la 7.1.4 para la rama 7.1, la 7.0.8 para la 7.0, la 6.9.11 para la 6.9 y la 6.8.12 para la 6.8. Las ramas 4.6 o anteriores ya no tienen soporte y requieren una migración.
Una puerta trasera persistente y un plugin cripto sin solución
Sucuri describió en octubre otra amenaza con una característica especialmente problemática: la puerta trasera se replica en distintos componentes del sitio. Puede esconderse en un archivo .user.ini que carga código antes de cada página, en db.php y advanced-cache.php, en el tema, en un plugin falso presentado como obligatorio, en la base de datos y en tareas programadas con nombres aleatorios.
El código también puede permanecer en la memoria compartida del servidor, incluso después de borrar los archivos afectados, y crear una cuenta de administrador oculta. Por eso, una limpieza parcial puede no ser suficiente. La revisión debe abarcar todos esos puntos, incluir el reinicio de PHP para vaciar la memoria y terminar con el cambio de las credenciales.
La tercera alerta afecta a CryptoPayment Gateway, un plugin utilizado para aceptar pagos con criptomonedas. Sus versiones 1.2.1 y 1.2.2 tienen la vulnerabilidad CVE-2026-81648, calificada con 10 sobre 10. El fallo permite que cualquier persona, sin iniciar sesión, consulte la configuración de las billeteras, modifique los datos de cobro o elimine archivos del servidor.
Defused Cyber observó intentos de explotación procedentes de servicios de alojamiento anunciados como “sin KYC”, según TokenPost. No existe una versión corregida: WordPress.org retiró el plugin de su directorio el 28 de agosto por un problema de seguridad. Tampoco se han comunicado comercios afectados ni fondos robados. Quienes lo tengan instalado deben eliminarlo y considerar comprometida cualquier clave de billetera almacenada en él.
Comprobaciones prioritarias para los sitios que cobran en cripto
La primera medida es actualizar el núcleo a la versión corregida de la rama correspondiente y verificar que los archivos coinciden con los oficiales. WordPress recomienda comprobar también los archivos sobrantes, ya que pueden revelar componentes no autorizados. Conviene bloquear la ejecución de PHP en ubicaciones donde no sea necesaria, como la carpeta de subidas y wp-content/upgrade, después de probar el cambio en el servidor.
También es necesario eliminar los plugins que no se utilicen, aunque estén desactivados, y evitar versiones pirateadas. Entre las señales que deben revisarse figuran archivos .user.ini con auto_prepend_file, archivos db.php o advanced-cache.php desconocidos, administradores no reconocidos y tareas programadas con nombres extraños.
La fuente recomienda no guardar claves privadas en el servidor, activar la verificación en dos pasos para los administradores y recurrir al proveedor de alojamiento o a un desarrollador si no se pueden completar las comprobaciones. Para los usuarios, la precaución básica sigue vigente: si una página conocida solicita conectar una billetera o firmar una operación inesperada, no debe hacerse.
