Leandro Ramirez — Seguridad WordPress

PHP2Shell: WordPress no puede parchear esto

Fri, 23 Oct 2026 00:00:00 GMT

CVE-2026-109618 y CVE-2026-109619: RCE sin autenticación en PHP. Actualizar WordPress no te protege. Verificá hoy tu servidor.

Campaña activa de WordPress: dos XSS sin autenticación instalan administradores ocultos

Wed, 14 Oct 2026 00:00:00 GMT

Explotación activa de XSS en Ninja Forms y WPC Product Bundles: crea administradores ocultos que sobreviven a la actualización. Qué actualizar y cómo revisar tu sitio.

RCE en WordPress vía libheif: exploit chain público para HEIC

Mon, 05 Oct 2026 00:00:00 GMT

Un heap overflow en libheif permite ejecución remota de código en WordPress subiendo un HEIC malicioso. Hay exploit público. Parcheá a 1.23.3 y bloqueá las subidas.

Elementor 4.3.0–4.3.1: CSRF de alto riesgo

Thu, 01 Oct 2026 00:00:00 GMT

CVSS 8.8 en Elementor 4.3.0–4.3.1: un enlace malicioso puede crear otro administrador si un usuario con sesión iniciada hace clic. Actualizá a 4.3.2.

UpdraftPlus: actualizá YA por auth bypass a RCE

Thu, 01 Oct 2026 00:00:00 GMT

CVE-2026-10795: auth bypass sin autenticación → RCE en UpdraftPlus < 1.26.5 (Premium < 2.26.5). Ataques activos: miles bloqueados por día. Actualizá hoy.

WordPress 7.1.2: actualizá YA por path traversal crítico

Tue, 22 Sep 2026 00:00:00 GMT

CVE-2026-87902: path traversal crítico sin autenticación en WordPress Core (< 7.1.2) que puede terminar en RCE. Actualizá hoy y revisá estos IoCs.

Click2Shell: actualizá WordPress 7.1.1 ya

Sat, 19 Sep 2026 00:00:00 GMT

Click2Shell: cadena crítica en WordPress Core: un click de un admin instala un tema y ejecuta código. Actualizá a 7.1.1 hoy y revisá estos IoCs.

Backdoor en Admin Menu Editor Pro: desinstalá el plugin

Fri, 18 Sep 2026 00:00:00 GMT

El sitio del desarrollador fue comprometido y las versiones 2.35-2.36 de Admin Menu Editor Pro traen backdoor. Verificá tu sitio con estos IoCs y desinstalá el plugin hoy.

Ataques WordPress 2026: las 6 tendencias que dominan

Thu, 17 Sep 2026 00:00:00 GMT

XSS, escalación a admin sin login, file upload a RCE y supply chain: las tendencias de ataques WordPress 2026 según Patchstack y Wordfence, y qué hacer.

CheckView crítico: crean admin con un clic, actualizá

Thu, 17 Sep 2026 00:00:00 GMT

CheckView ≤2.3.1 tiene un bypass de autenticación REST (CVE-2026-18786) que permite crear un admin con un clic. Actualizá a 2.4.1 hoy.

Contest Gallery ≤32.0.1: fallo de archivos, actualizá ya

Thu, 17 Sep 2026 00:00:00 GMT

Contest Gallery ≤32.0.1 tiene un fallo de sobrescritura de archivos (CVE-2026-78088, CVSS 8.8) que puede derivar en RCE. Actualizá a la última versión (33.0.3) ya.

WooCommerce Wholesale Lead Capture: subida de archivos explotada

Wed, 16 Sep 2026 00:00:00 GMT

CVE-2026-27540: subida de archivos sin login en WooCommerce Wholesale Lead Capture, con explotación activa. Actualizá a 2.0.3.2 y revisá tu tienda.

Frontend Admin: account takeover sin login, actualizá a 3.29.13

Mon, 14 Sep 2026 00:00:00 GMT

Frontend Admin by DynamiApps ≤ 3.29.12 permite tomar cualquier cuenta del sitio, incluida la admin, sin login (CVE-2026-75816, CVSS 9.8). Actualizá a 3.29.13 hoy.

Mail Mint: PHP Object Injection crítico, actualizá a 1.31.1

Mon, 14 Sep 2026 00:00:00 GMT

Mail Mint by WPFunnels ≤ 1.31.0 permite inyección de objetos PHP sin login (CVE-2026-84753, CVSS 9.8) con RCE potencial. Si armás newsletters, actualizá a 1.31.1 hoy.

Migrar de DonWeb: paso a paso sin cortar el sitio

Mon, 14 Sep 2026 00:00:00 GMT

Migrar tu WordPress o WooCommerce fuera de DonWeb sin cortar el sitio: backup, archivos, base de datos, DNS y SSL. Guía paso a paso y errores a evitar.

WordPress hackeado: 6 pasos para limpiarlo vos mismo

Mon, 14 Sep 2026 00:00:00 GMT

Tu WordPress fue hackeado y no sabés cómo recuperarlo. Señales de infección, limpieza de webshells paso a paso y cuándo conviene contratar a un especialista.

Avada RCE crítico: actualizá a 7.16.1 (CVE-2026-18431)

Sat, 12 Sep 2026 00:00:00 GMT

Avada y Fusion Builder ≤ 7.16/3.16 tienen RCE sin autenticación (CVSS 9.8) en más de 1M de sitios. Parche 7.16.1/3.16.1 disponible. Actualizá hoy.

The Events Calendar: RCE sin autenticación (CVE-2026-78006)

Sat, 12 Sep 2026 00:00:00 GMT

RCE sin autenticación (CVSS 9.8) en The Events Calendar ≤ 6.17.4: un atacante anónimo toma el control del sitio. Parche 6.17.4.1. Actualizá ya.

WooCommerce Subscriptions: RCE sin login, actualizá a 9.1.0

Sat, 12 Sep 2026 00:00:00 GMT

WooCommerce Subscriptions < 9.1.0 permite inyección de objetos PHP (CVSS 9.8) en tiendas con HPOS, escalable a RCE sin autenticación. Actualizá a 9.1.0 hoy.

Pods: escalación de privilegios sin autenticación permite tomar el sitio (CVE-2026-19598)

Fri, 11 Sep 2026 00:00:00 GMT

Pods ≤ 3.3.9 tiene una escalación de privilegios sin autenticación (CVSS 9.8): cualquier visitante puede volverse administrador y cambiar contraseñas. Actualizá a 3.3.9.1.

All-in-One WP Migration: SQL Injection que permite tomar el control del sitio

Thu, 10 Sep 2026 00:00:00 GMT

CVE-2026-19949 en All-in-One WP Migration deja expuestos 3,25 millones de sitios a takeover vía SQL injection. Actualizá a 7.110 o superior ya.

Cuánto cuesta crear una tienda online en Argentina (2026)

Wed, 09 Sep 2026 00:00:00 GMT

Costos reales de crear una tienda online en Argentina 2026: Tiendanube, Shopify y WooCommerce, comisiones de Mercado Pago y costos ocultos. Números concretos, sin humo.

Hummingbird: RCE sin autenticación — actualizá a 3.21.2

Wed, 09 Sep 2026 00:00:00 GMT

Hummingbird ≤ 3.21.0 tiene un RCE sin autenticación (CVE-2026-83627, CVSS 9.8): inyectan PHP vía el log de debug del cache. Actualizá a 3.21.2 ya.

WooCommerce vs Tiendanube: cuál conviene en 2026

Wed, 09 Sep 2026 00:00:00 GMT

WooCommerce vs Tiendanube 2026 con números: costos reales, SEO, control y escalabilidad. Cuál te conviene según tu etapa, sin humo de agencias.

WPML: inyección SQL crítica (CVE-2026-17509)

Wed, 09 Sep 2026 00:00:00 GMT

CVE-2026-17509 en WPML Multilingual CMS: atacantes autenticados pueden extraer datos de la base. Actualizá a 4.9.6 o superior.

GiveWP: RCE sin autenticación — actualizá a 4.16.7.2

Tue, 08 Sep 2026 00:00:00 GMT

Un atacante sin cuenta puede ejecutar código en tu servidor si usás GiveWP. Actualizá a 4.16.7.2, la versión que corrige la cadena de vulnerabilidades.

Query Monitor: guía para desarrolladores WordPress

Tue, 08 Sep 2026 00:00:00 GMT

Dominá Query Monitor de punta a punta: timeline, queries, hooks, profiling, logging y workflow de debugging para sitios WordPress en producción.

Elementor Pro con falla crítica de subida de archivos: cómo proteger tu sitio ahora

Mon, 07 Sep 2026 00:00:00 GMT

CVE-2026-32475 (CVSS 9.8) permite subir archivos PHP sin autenticación en Elementor Pro. Miles de sitios comprometidos. Actualizá a la 4.2.2 ya.

Cómo usar WP-CLI en WordPress Studio (guía completa)

Mon, 07 Sep 2026 00:00:00 GMT

Usá WP-CLI dentro de WordPress Studio con el comando studio wp: 30+ comandos con ejemplos, simulaciones de terminal y workflow para no romper producción.

Vulnerabilidad crítica en Super Forms explotada activamente: actualizá ya a 6.3.314

Sat, 05 Sep 2026 00:00:00 GMT

Atacantes explotan sin autenticación una subida de archivos (CVSS 9.8, CVE-2026-14894) en Super Forms <= 6.3.313 que permite subir webshells y tomar el control total del sitio. Actualizá el plugin ahora.

Por qué deberías eliminar el usuario "admin" en tu WordPress

Thu, 03 Sep 2026 00:00:00 GMT

El usuario "admin" es el primer blanco de los ataques de fuerza bruta. Te explico por qué conviene crearlo con otro nombre, cómo hacerlo sin romper contenido y qué más blindar.