{"id":11653,"date":"2026-08-07T14:49:04","date_gmt":"2026-08-07T20:49:04","guid":{"rendered":"https:\/\/beaconlab.us\/?post_type=publicacion&p=11653"},"modified":"2026-08-07T14:57:03","modified_gmt":"2026-08-07T20:57:03","slug":"alerta-2026-85-xss-pre-autenticado-con-cadena-hacia-rce-php-en-wordpress-cms","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/alerta-2026-85-xss-pre-autenticado-con-cadena-hacia-rce-php-en-wordpress-cms\/","title":{"rendered":"Alerta 2026-85 XSS Pre-Autenticado con Cadena hacia RCE PHP \u00a0en WordPress CMS"},"content":{"rendered":"\n

Producto(s) afectado(s):<\/h2>\n\n\n\n


WordPress Core \u2014 Sistema de gesti\u00f3n de contenidos (CMS)<\/p>\n\n\n\n

Producto<\/strong><\/td>Versiones afectadas<\/strong><\/td>Versi\u00f3n corregida<\/strong><\/td><\/tr>
WordPress<\/strong><\/td>Todas las versiones (desde 4.7 en adelante)<\/td>7.0.3<\/td><\/tr>
WordPress<\/strong><\/td>Rama 6.9.x<\/td>6.9.6<\/td><\/tr>
WordPress<\/strong><\/td>Ramas 4.7 \u2013 6.8.x<\/td>Backports aplicados<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Las versiones anteriores a 4.7 tambi\u00e9n est\u00e1n afectadas pero quedan fuera del rango de backports oficial del proyecto.<\/p>\n\n\n\n


Descripci\u00f3n<\/h2>\n\n\n\n

Recientemente se ha reportado una vulnerabilidad cr\u00edtica un XSS reflejado pre-autenticado en la pantalla de login (wp-login.php) en WordPress CMS, etiquetada como CVE-2026-64638 con un score CVSS 8.9 \u2014 Alta. Investigadores demostraron que esta falla puede ser encadenada para lograr ejecuci\u00f3n remota de c\u00f3digo (RCE) en PHP en el servidor cuando un administrador autenticado interact\u00faa con una p\u00e1gina controlada por el atacante, convirtiendo un bug del lado del navegador en un compromiso total del servidor.<\/p>\n\n\n\n

El problema reside en c\u00f3mo WordPress procesa el campo username durante intentos de login fallidos. El input pasa por sanitize_user() y wp_strip_all_tags() (que internamente usa strip_tags()), donde una cadena con estructura de etiqueta HTML que incluye un espacio despu\u00e9s del < de apertura sobrevive como texto plano. Luego, al pasar por wp_kses_post(), el contenido es interpretado como HTML permitido, generando elementos DOM controlados por el atacante.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Figura 1 <\/strong>Cadena de Explotaci\u00f3n WordPress \u2014 CVE-2026-64638: De XSS Pre-Autenticado a Ejecuci\u00f3n Remota de C\u00f3digo PHP<\/p>\n\n\n\n

Soluci\u00f3n<\/h2>\n\n\n\n

Actualizar de forma inmediata a las versiones corregidas:<\/p>\n\n\n\n

Versi\u00f3n actual Actualizar a M\u00e9todo
WordPress 7.0.x 7.0.3 Dashboard \u2192 Actualizaciones \u2192 Actualizar ahora
WordPress 6.9.x 6.9.6 Dashboard \u2192 Actualizaciones \u2192 Actualizar ahora
WordPress 4.7 \u2013 6.8.x Backport aplicado Actualizaciones autom\u00e1ticas o manual<\/p>\n\n\n\n

Descarga oficial:<\/strong>
\u2022 https:\/\/wordpress.org\/download\/releases\/<\/p>\n\n\n\n

Los sitios con actualizaciones autom\u00e1ticas en segundo plano habilitadas ya deber\u00edan haber recibido la actualizaci\u00f3n de seguridad de forma autom\u00e1tica. Se recomienda verificar la versi\u00f3n instalada.<\/p>\n\n\n\n

Para verificar la instalaci\u00f3n puede:<\/p>\n\n\n\n

Via WP-CLI<\/strong><\/p>\n\n\n\n

wp core version
wp core update # actualizar si es necesario<\/p>\n\n\n\n

Notas de la versi\u00f3n 7.0.3:<\/strong>
\u2022 https:\/\/wordpress.org\/news\/2026\/08\/wordpress-7-0-3-release\/<\/p>\n\n\n\n

Mitigaci\u00f3n<\/h2>\n\n\n\n
    \n
  • Implementar un WAF (Web Application Firewall) con reglas de filtrado XSS sobre wp-login.php. Pantheon ya aplic\u00f3 virtual patching a nivel de red en su plataforma.pantheon<\/li>\n\n\n\n
  • Restringir el acceso a wp-login.php por IP a trav\u00e9s de .htaccess o configuraci\u00f3n del servidor web (NGINX\/Apache), permitiendo solo IPs conocidas de administradores.<\/li>\n\n\n\n
  • Deshabilitar la funcionalidad de Application Passwords si no se utiliza, para cortar el vector de la cadena RCE:<\/li>\n<\/ul>\n\n\n\n

    add_filter(‘wp_is_application_passwords_available’, ‘__return_false’)<\/p>\n\n\n\n

      \n
    • Monitorear logs de acceso en busca de requests a wp-login.php con usernames que contengan caracteres <, > o similares.<\/li>\n<\/ul>\n\n\n\n

      Nota: Los investigadores advirtieron expl\u00edcitamente que las medidas de hardening est\u00e1ndar de WordPress no deben considerarse mitigaci\u00f3n completa para el XSS subyacente. La \u00fanica soluci\u00f3n definitiva es actualizar.<\/p>\n\n\n\n

      Informaci\u00f3n adicional:<\/h2>\n\n\n\n
        \n
      • The Hacker News \u2014 CVE-2026-64638: https:\/\/thehackernews.com\/2026\/08\/new-wordpress-pre-auth-xss-could-lead.html<\/li>\n\n\n\n
      • WordPress 7.0.3 Release (oficial): https:\/\/wordpress.org\/news\/2026\/08\/wordpress-7-0-3-release\/<\/li>\n\n\n\n
      • WordPress 7.0.3 \u2014 Documentaci\u00f3n de versi\u00f3n: https:\/\/wordpress.org\/documentation\/wordpress-version\/version-7-0-3\/<\/li>\n\n\n\n
      • Security Arsenal \u2014 An\u00e1lisis t\u00e9cnico CVE-2026-64638: https:\/\/securityarsenal.com\/blog\/cve-2026-64638<\/li>\n\n\n\n
      • Pantheon \u2014 Mitigaciones de plataforma: https:\/\/docs.pantheon.io\/release-notes\/2026\/08\/wordpress-7-0-3<\/li>\n\n\n\n
      • GitHub Advisory: https:\/\/github.com\/WordPress\/wordpress-develop\/security\/advisories\/GHSA-52p2-r8wf-jcrf<\/li>\n<\/ul>\n","protected":false},"featured_media":11613,"template":"","class_list":["post-11653","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry"],"acf":{"activar_pdf_link":false,"pdf":null,"numero_de_boletin":"85","traffic_light_protocol":"White"},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t