Explotación masiva de CMS en 2026: plugins de WordPress, Craft, Joomla JCE

Qué informa el ACSC

Según la alerta, los atacantes rastrean sitios de todo el mundo, muchos de pequeñas y medianas empresas, en busca de fallos que permiten subir archivos sin autenticación, ejecutar código a distancia, SSRF o deserialización, e instalan webshells para desfigurar el sitio, robar credenciales, alojar malware o pivotar hacia la red.

¿Afecta a mi sitio?

• Liste los plugins instalados y sus versiones (con WP-CLI: wp plugin list) y compárelos con la tabla y las versiones corregidas de cada fabricante.
• Busque archivos PHP en directorios de subida y archivos PHP modificados recientemente que usted no desplegó.
• Revise cuentas de administrador nuevas, tareas programadas y conexiones salientes desconocidas.

# Recently changed PHP files in a web root (adjust the path and days)
find /var/www -name '*.php' -mtime -30 -print
# PHP files where none should exist
find /var/www -path '*/uploads/*' -name '*.php' -print

Cómo solucionarlo

• Actualice o elimine cada componente de la lista; borre los plugins que no use.
• Si encuentra un webshell, trate el servidor como comprometido: guarde una copia, restaure una copia de seguridad limpia o reconstruya, y cambie las credenciales de base de datos, administración, FTP/SSH y API.
• Mantenga también el motor PHP al día; consulte la solución de PHP2Shell.

Preguntas frecuentes