Un aviso defensivo sobre vulnerabilidades con explotación confirmada en la naturaleza (incluidas en la KEV de CISA). Qué ocurre, qué está afectado y cómo responder, sin guía de ataque ni prueba de concepto.
La rama 6.8 no está afectada por la misma cadena de RCE
El aviso oficial incluye ambos CVE para 6.9/7.0, pero solo CVE-2026-60137 para 6.8. Recomendar actualizar a 6.8.6 no significa que esa rama esté afectada por CVE-2026-63030.
- CVE
- CVE-2026-63030 (confusión de rutas, CWE-436) + CVE-2026-60137 encadenado (SQLi, CWE-89)
- Gravedad
- Crítica (CVSS 9.8) — explotada activamente (KEV de CISA; plazo de corrección hasta 2026-07-24)
- Tipo
- Confusión de rutas en la REST API × inyección SQL en author__not_in → SQLi sin autenticación → RCE
- Impacto
- Inyección SQL sin autenticación, ejecución remota de código (RCE), robo de datos
- Afectados
- 63030: afecta a 6.9.x / 7.0.x; 6.8.x solo está afectada por 60137
- Solución principal
- Actualizar a 6.8.6 / 6.9.5 / 7.0.2 o posterior
Se llega sin autenticación
Confusión de rutas en la REST API (CWE-436)
Inyección SQL mediante author__not_in
RCE y robo de datos
Solución: actualizar a 6.8.6 / 6.9.5 / 7.0.2 o posterior
Por qué no aplicar el parche es peligroso
Como el RCE es accesible sin autenticación, los sitios públicos de WordPress son objetivo de escaneos automatizados a gran escala. Este es un fallo del núcleo, no limitado a un plugin concreto, por lo que todo sitio con una versión afectada está potencialmente expuesto. CISA ordenó a las agencias federales de EE. UU. corregirlo antes del 2026-07-24. "Somos demasiado pequeños para ser objetivo" no es un argumento válido.
Qué está afectado
| Elemento | Detalle |
|---|---|
| Objetivo | Núcleo de WordPress |
| Versiones afectadas | 6.8.0–6.8.5 (60137) / 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| Versión corregida | 6.8.6 / 6.9.5 / 7.0.2 y posteriores |
| Condición previa | Ninguna autenticación cuando se encadena |
| Impacto alcanzable | Inyección SQL → ejecución remota de código (RCE); robo de datos |
| Estado | Ambos explotados activamente (KEV de CISA; plazo de corrección hasta 2026-07-24) |
Nota sobre las diferencias de puntuación de gravedad (en ambos casos)
La gravedad de CVE-2026-60137 por sí solo varía según la fuente. WPScan la califica con CVSS 5.9 (por sí solo necesita que un plugin o tema pase una entrada no confiable a author__not_in, una condición previa de accesibilidad), mientras que CISA la califica con 9.1. Encadenado con la confusión de rutas de CVE-2026-63030, se vuelve accesible directamente a través de la REST API y explotable de facto sin autenticación (CVSS 9.8). La diferencia refleja cómo cada fuente puntúa la condición previa de accesibilidad; la respuesta es la misma: actualizar a la versión corregida.
Cómo responder
Actualice el núcleo a 6.8.6 / 6.9.5 / 7.0.2 o posterior (prioridad máxima)
Compruebe si hay indicios de compromiso (asuma que pudo haber sido alcanzado antes de actualizar)
Defensa temporal hasta poder actualizar (defensa en profundidad)
Monitorice de forma automatizada los CVE del núcleo, plugins y temas
La postura de este sitio: diseñar como si toda entrada fuera no confiable
En esencia, este fallo es una entrada no confiable que llega a una consulta por una vía inesperada (confusión de rutas). La inyección SQL se evita usando siempre marcadores de posición (sentencias preparadas) y saneando y validando siempre la entrada, sin importar la ruta o las condiciones previas que se supongan. La actualización es obligatoria, pero lo que aporta beneficios a largo plazo es un diseño de "no confiar en ninguna entrada" junto con una rutina que monitorice automáticamente los CVE del núcleo y los plugins y actualice con rapidez.
Lectura recomendada
- Glosario: qué es la inyección SQL / qué es RCE (ejecución remota de código) / qué es un CVE
- Práctica: el manual de corrección de CVE (monitorizar y actualizar con rapidez)
- Todas las alertas: alertas de vulnerabilidades
Fuentes y alcance
Estas referencias primarias respaldan los ajustes, el alcance o las medidas de corrección descritos arriba; los enlaces se comprobaron el 23 de octubre de 2026. Consulte sus condiciones de versión y configuración. Las prioridades de la lista de comprobación y las lecciones son una guía de este sitio, no una revalidación completa del artículo ni una garantía de seguridad.