Una falla crítica en WordPress Core permite ejecución remota de código sin autenticación, afectando versiones 6.9.0 a 7.0.1 y exigiendo actualización urgente.
El 17 de julio de 2026 se publicó un aviso de seguridad en GitHub sobre la vulnerabilidad CVE-2026-63030, que afecta a WordPress Core y permite la ejecución remota de código sin necesidad de autenticación. Esta falla impacta a las versiones 6.9.0 hasta la 6.9.4 y de la 7.0.0 a la 7.0.1, poniendo en riesgo la integridad de sitios web que utilizan este sistema de gestión de contenidos.
Por qué importa: WordPress es uno de los CMS más usados globalmente, por lo que esta vulnerabilidad crítica puede comprometer sitios públicos y sus datos sin requerir interacción del usuario.
Lo esencial
La vulnerabilidad permite a atacantes ejecutar código remotamente a través del endpoint batch de la REST API de WordPress.
Afecta versiones 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1; está corregida en 6.9.5 y 7.0.2.
No se requiere cuenta ni plugins adicionales para explotar la falla en instalaciones por defecto.
Detalles técnicos de la vulnerabilidad
La falla reside en el manejo del endpoint batch de la REST API, que permite enviar múltiples solicitudes en una sola llamada. Un atacante no autenticado puede aprovechar esta ruta para ejecutar código arbitrario en el servidor, lo que podría derivar en la toma total del sitio y acceso a sus datos.
Cloudflare indicó que el código vulnerable se activa cuando no se utiliza un caché de objetos persistente, aumentando el riesgo en configuraciones comunes. Los investigadores de Searchlight Cyber fueron quienes identificaron esta vulnerabilidad y confirmaron que no es necesario instalar plugins adicionales para explotarla.
Impacto y alcance
Dado que WordPress es la plataforma de gestión de contenidos más popular, millones de sitios podrían estar expuestos. La vulnerabilidad tiene una puntuación CVSS de 7.5, catalogada como crítica por GitHub Security Advisory, lo que refleja su gravedad y facilidad de explotación.
Imagen de referencia: Rapid7 Research.
Hasta la fecha de publicación no se han reportado ataques confirmados en entornos reales, pero la ausencia de exploits públicos no reduce el riesgo, especialmente considerando que modelos de inteligencia artificial podrían facilitar la creación de pruebas de concepto en poco tiempo.
Medidas para administradores y organizaciones
Se recomienda actualizar inmediatamente a WordPress 6.9.5, 7.0.2 o versiones superiores que incluyen la corrección. WordPress ha activado actualizaciones automáticas para instalaciones afectadas, pero es crucial que los administradores verifiquen que sus sitios estén efectivamente actualizados.
Rapid7 ha incorporado chequeos de vulnerabilidad autenticados para CVE-2026-63030 en sus productos Exposure Command, InsightVM y Nexpose desde la actualización del 20 de julio de 2026, facilitando la detección y gestión del riesgo.
Preguntas frecuentes sobre CVE-2026-63030
¿Qué versiones de WordPress están protegidas contra esta vulnerabilidad?
Las versiones 6.9.5, 7.0.2 y superiores, incluyendo la beta 2 de la rama 7.1, contienen la corrección para CVE-2026-63030.
¿Se requiere algún plugin o configuración especial para que la vulnerabilidad sea explotable?
No, la vulnerabilidad puede ser explotada en una instalación estándar de WordPress sin necesidad de plugins adicionales ni interacción del usuario.
