Ataque WP2Shell permite a hackers crear cuentas de administrador en WordPress e instalar web shells sin necesidad de iniciar sesión
Resumen Informativo
De acuerdo a la publicación titulada WP2Shell Attack permite a los hackers crear cuentas de administrador de WordPress e instalar Web Shells sin iniciar sesión, difundida en fecha 20/10/2026 13:55, por el medio Cybersecuritynews (Autor: Tushar Subhra Dutta):
WP2Shell combina dos defectos principales de WordPress para pasar de una solicitud no autenticada a la ejecución de código del lado del servidor. Puede permitir que un atacante cree una cuenta de administrador e instale un shell web basado en plugins.
Los analistas de Seqrite identificaron y documentaron WP2Shell, combinando CVE-2026-63030 y CVE-2026-60137 en una ruta desde una solicitud pública de API REST hasta la ejecución de código. Seqrite dice que las solicitudes anidadas pueden confundir el manejo de rutas y la funcionalidad de alcance que debería requerir autenticación. Ataque WP2Shell Según Seqrite, una entrada mal manejada puede afectar a la consulta de la base de datos. La prueba de concepto establece un punto de apoyo a nivel de administrador y la ejecución remota de código.
Una vez que el código se ejecuta en el servidor, un atacante puede tener una forma de realizar más cambios más allá del panel de control de WordPress. La cadena puede crear una cuenta de administrador inesperada, organizar un archivo ZIP en las cargas, descomprimir archivos PHP y mover un directorio de complementos a wp-content/plugins.
| Fuente: | Cybersecuritynews |
| Título original: | WP2Shell Attack permite a los hackers crear cuentas de administrador de WordPress e instalar Web Shells sin iniciar sesión |
| Publicado: | 20/10/2026 13:55 |
| Enlace: | https://cybersecuritynews.com/wp2shell-attack |
| Consultado: | 20/10/2026 |
