Fallo crítico de seguridad ha sido descubierto en el plugin WPvivid Backup & Migration para WordPress, utilizado por más de 900.000 sitios web.
Esta vulnerabilidad, permite a los atacantes ejecutar código de forma remota (RCE) mediante la subida de archivos arbitrarios, incluso sin autenticación, poniendo en riesgo la integridad de los sitios afectados.
¿De qué trata esta vulnerabilidad?
La vulnerabilidad registrada como CVE-2026-1357, tiene una puntuación de gravedad de 9.8/10, lo que se identifica como un riesgo altamente crítico.
Afecta todas las versiones hasta la 0.9.123 y podría permitir a un posible atacante:
- Tomar el control completo del sitio web.
- Subir archivos maliciosos, incluyendo PHP, para ejecutar código en el servidor.
- Explotar el plugin durante ventanas de 24 horas, aprovechando las claves de backup generadas temporalmente.
Es importante resaltar que, según los investigadores de Defiant, la vulnerabilidad solo afecta críticamente a sitios que tengan activada la opción “receive backup from another site”, una opción que en principio NO se encuentra habilitada por defecto dentro del plugin.
¿Cómo se produce el ataque?
El problema se encuentra en dos áreas críticas del plugin:
1. Manejo incorrecto de errores en la desencriptación RSA
Cuando la función openssl_private_decrypt() falla, WPvivid no detiene la ejecución y pasa un valor false al algoritmo AES. Esto se interpreta como un conjunto de bytes nulos predecibles, lo que permite que un atacante genere claves de cifrado maliciosas.
2. Falta de sanitización de nombres de archivos
El plugin no valida correctamente los nombres de archivos subidos, permitiendo travesía de directorios. Esto significa que un atacante puede colocar archivos fuera del directorio de backup y ejecutar archivos PHP maliciosos, obteniendo RCE.
¿Qué impacto real puede tener esto sobre tu sitio web?
Aunque la ventana de explotación es limitada a 24 horas por clave, la vulnerabilidad es especialmente peligrosa porque:
- Los administradores suelen habilitar la opción de recibir backups de otro sitio para migraciones o transferencias, incluso si solo es temporalmente.
- El RCE potencial permite comprometer por completo un sitio web, incluyendo accesos a bases de datos y control del servidor.
Actualización y solución
El investigador Lucas Montes (NiRoX) reportó la vulnerabilidad a Defiant el 12 de enero de 2026. Tras verificar la prueba de concepto, el vendor WPVividPlugins publicó la corrección en la versión 0.9.124, el 28 de enero de 2026.
Las medidas aplicadas incluyen:
- Detener la ejecución si falla la desencriptación RSA.
- Sanitización de nombres de archivo, evitando travesía de directorios.
- Restricción de tipos de archivos permitidos, limitando la subida solo a ZIP, GZ, TAR y SQL.
Los usuarios deben actualizar inmediatamente a la versión 0.9.124 del plugin para proteger sus sitios.
Recomendaciones de seguridad
Para proteger tu WordPress frente a este tipo de vulnerabilidades:
- Actualizar WPvivid Backup & Migration a la versión 0.9.124 o superior.
- Evitar habilitar funciones de backup externo innecesarias.
- Restringir permisos de subida y revisar los directorios de backup.
- Considerar plugins de seguridad adicionales que monitoricen actividades inusuales.
Conclusión
La vulnerabilidad CVE-2026-1357 demuestra que incluso plugins muy populares pueden tener fallos críticos. La acción inmediata es actualizar el plugin y auditar la configuración de backup, especialmente si la opción de recibir backups de otro sitio fue habilitada.
Recuerda, que mantener los plugins al día sigue siendo la mejor práctica para proteger WordPress de ataques de RCE.