Hace unos días, alguien aprovechó una vulnerabilidad del núcleo de WordPress conocida como wp2shell para crear cuentas de administrador en nuestro sitio. No fue por un plugin desactualizado ni por una contraseña débil: fue un fallo en una versión reciente de WordPress que aún no habíamos actualizado.
El atacante creó varios usuarios administradores falsos y publicó 251 artículos basura. No modificó artículos existentes, no subió archivos maliciosos, no logró ejecutar código, no pudo salir de la jaula del servidor web ni acceder a la red del Banco de Datos. Tras recibir reporte de los artículos basura eliminamos todo: usuarios, artículos, metadatos y rastros. También revisamos que no quedaran puertas traseras, rotamos las claves de seguridad y actualizamos el núcleo, los plugins y los temas.
A partir de ahora aumentaremos la frecuencia con que verificamos las actualizaciones.
Para quien quiera entender el fallo técnico y cómo se defendió otro afectado, este artículo lo cuenta sin tecnicismos: https://harizanov.com/2026/07/the-patch-that-couldnt-install-a-wordpress-core-exploit-created-an-admin-on-this-blog/
