EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2026-63030 Inyección SQL y ejecución remota de código en WordPress vía API REST

WordPress 6.9.x anterior a 6.9.5 y 7.0.x anterior a 7.0.2 está afectado por un problema de confusión de rutas en el endpoint batch de la API REST que, combinado con la inyección SQL de author__not_in en WP_Query (CVE-2026-60137), podría permitir a un atacante realizar inyección SQL y lograr ejecución remota de código.

Alerta de Nureq Monitor

Detectada 15 OCT · 22:45

CVSS 3.1

9.8CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

10,6 % PERCENTIL 96

EXPLOTACIÓN ACTIVA

Sí DESDE 21/07/2026

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-63030

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 21 de julio de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 24 de julio de 2026. Corregirla es prioritario.

Productos y versiones afectadas

WordPress
- desde 6.9.0 hasta antes de 6.9.5
- desde 7.0.0 hasta antes de 7.0.2

Qué hacer

Verificá si usás WordPress y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

gichirimaku/wp2shell-PoC CVE-2026-63030 + CVE-2026-60137 exploit RCE chain.PUBLICADO 15 OCT · 22:45

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

Abrir la calculadora completa

Descripción original

WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.

Referencias

github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662qVDB-ENTRY · TECHNICAL-DESCRIPTION
wordpress.org/news/2026/07/wordpress-7-0-2-release/RELEASE-NOTES · VENDOR-ADVISORY
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63030GOVERNMENT-RESOURCE

Historial de la alerta

15 OCT · 22:45EXPLOIT PÚBLICO Se publicó el repositorio gichirimaku/wp2shell-PoC.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.