Dos fallas de seguridad de alta gravedad, descubiertas en los populares plugins de WordPress Elementor Pro y Super Forms, ponen en riesgo a más de seis millones de sitios web. Las vulnerabilidades permiten la ejecución remota de código, y ya se han registrado más de 440,000 intentos de explotación.
La noticia, publicada originalmente por TechRadar Pro, destaca la urgencia para que los administradores de sitios web actualicen sus instalaciones para mitigar el riesgo de secuestro de sus plataformas.
Fallas críticas en Elementor Pro
Elementor Pro, un constructor de sitios web muy utilizado con más de seis millones de instalaciones activas, ha sido afectado por una vulnerabilidad crítica (CVE-2026-32475) con una puntuación de 9.8/10 en severidad. Esta falla, presente en todas las versiones hasta la 4.2.1 inclusive, permitía la carga de archivos de tipo no restringido a atacantes no autenticados.
Esto significa que un ciberdelincuente podría subir archivos ejecutables, facilitando la toma de control del sitio. La explotación de esta vulnerabilidad requiere que el sitio objetivo tenga una página publicada con un widget de formulario de Elementor Pro que incluya al menos un campo de carga de archivos no obligatorio. Wordfence, la compañía de seguridad que reveló el hallazgo, ha bloqueado más de 190,000 intentos de explotación de esta falla hasta la fecha. Afortunadamente, un parche fue lanzado a mediados de agosto de 2026.
Vulnerabilidad en Super Forms: Riesgo para miles de sitios
Simultáneamente, Wordfence también identificó una falla crítica en Super Forms, un plugin constructor de formularios con aproximadamente 13,000 instalaciones activas. Esta vulnerabilidad (CVE-2026-14894), también con una puntuación de 9.8/10 en severidad, permitía la carga arbitraria de archivos en todas las versiones hasta la 6.3.313.
Al igual que con Elementor Pro, esta debilidad podía ser utilizada por atacantes no autenticados para subir archivos ejecutables y lograr la ejecución remota de código. Desde su descubrimiento, Wordfence ha registrado más de 250,000 intentos de explotación de esta vulnerabilidad. Un parche para Super Forms también fue lanzado hace unas semanas, por lo que es vital que los usuarios actualicen a la brevedad.
Consecuencias y recomendaciones para usuarios de WordPress
La existencia de estas vulnerabilidades críticas en plugins tan ampliamente adoptados subraya la importancia de una gestión proactiva de la seguridad en WordPress. Un ataque exitoso podría resultar en el secuestro completo del sitio web, el robo de datos, la inyección de malware y el daño a la reputación de la marca.
Los administradores de sitios WordPress que utilicen Elementor Pro o Super Forms deben verificar de inmediato las versiones de sus plugins y aplicar las actualizaciones disponibles. Asimismo, se recomienda:
- Realizar copias de seguridad regulares: Asegurarse de tener backups actualizados de todo el sitio web.
- Usar un firewall de aplicaciones web (WAF): Soluciones como Wordfence pueden ayudar a bloquear intentos de explotación conocidos.
- Limitar permisos de archivos: Configurar los permisos de archivos y directorios de forma estricta.
- Monitorear la actividad del sitio: Estar atento a cualquier actividad inusual o cambios no autorizados.
En resumen
- Dos vulnerabilidades críticas afectan a los plugins Elementor Pro y Super Forms de WordPress.
- Más de seis millones de sitios web están potencialmente en riesgo.
- Las fallas permiten la carga de archivos arbitrarios y la ejecución remota de código.
- Se han registrado más de 440,000 intentos de explotación combinados.
- Parches de seguridad han sido lanzados para ambas vulnerabilidades.
- Se insta a los usuarios a actualizar sus plugins de inmediato para proteger sus sitios.
