ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Contact Form 7

Alerta 2026-150 Subida de archivos sin autenticación en Contact Form 7

Producto(s) afectado(s): 

ProductoVersiones afectadas
Contact Form 7 (plugin de WordPress)6.2, 6.2.1, 6.2.2 y 6.2.3

La corrección de CVE-2026-114432 está en 6.2.4 (29/10/2026); se recomienda 6.2.5, que la incluye. Las 6.1.x y anteriores no están en el rango. La exposición práctica requiere un campo de subida de archivos en el formulario.

Descripción

Se ha publicado una vulnerabilidad de subida arbitraria de archivos sin autenticación (CWE-434) en Contact Form 7, un plugin de formularios de WordPress con más de 10 millones de instalaciones activas. La vulnerabilidad ha sido etiquetada como CVE-2026-114432 y afecta a las versiones 6.2 a 6.2.3. Un atacante sin credenciales puede hacer que un formulario con campo de adjuntos acepte un archivo que la validación debería bloquear y que ese archivo quede en el servidor.

El proveedor indicó que el problema se ve solo en ese rango y publicó la corrección el 29/10/2026, en la versión 6.2.4. Investigadores señalan que, en una configuración Apache de fábrica de Debian o Ubuntu —con listado de directorios y el tipo .phar asociado a PHP—, el archivo puede localizarse y ejecutarse, lo que abre la puerta a una ejecución remota de código. En otras configuraciones, incluido nginx y Apache con anulación por .htaccess, el impacto queda en una escritura en el directorio de subidas que todavía puede servirse como HTML o SVG desde el propio sitio.

Las fuentes no coinciden en el puntaje y el CNA no publicó uno propio. El enriquecimiento del registro CVE la califica con CVSS 9.8, crítica, mientras que investigadores del sector la puntúan con CVSS 8.1, alta, y CVSS 7.5, alta, en parte porque el subdirectorio de subida es aleatorio y no se revela, y porque la ejecución de código depende de la configuración del servidor. Conviene tratarla como crítica cuando el servidor puede listar y ejecutar lo subido, y como alta en el resto de configuraciones. No se presenta el 9.8 como un consenso ni como puntaje del fabricante.

Por ahora no se identificó explotación confirmada. La vulnerabilidad no figura en catálogos de vulnerabilidades explotadas conocidas. Investigadores anunciaron una prueba de concepto para el 19/11/2026, a fin de dar tiempo a actualizar; al 10/11/2026 no era pública. El 10/11/2026 a las 02:46 (PYT) el proveedor publicó la versión 6.2.5, que incluye la corrección de esta falla y cierra además dos fugas de información de menor riesgo, cuyo nivel el fabricante indica que no es alto.

Mitigación

Se recomienda:

  • Inventariar sitios WordPress con Contact Form 7 e identificar la versión instalada. Priorizar los que estén en 6.2 a 6.2.3 y tengan un campo de archivo en algún formulario.
  • Actualizar a 6.2.5 (o, como mínimo, a 6.2.4 o 6.2.4.1, que ya cierran esta CVE). Comprobar que el sitio cumple WordPress 7.1 o superior y PHP 8.3 o superior; si no, el canal habitual de actualización del plugin puede no ofrecer el parche.
  • Tras actualizar, probar los envíos que adjuntan archivos: el parche de 6.2.4 pasa a una lista blanca de extensiones (audio, video, imágenes, PDF y TXT, salvo que se personalice con el filtro wpcf7_file_extension_safelist).
  • Mientras se actualiza, y también después, desactivar el listado de directorios en el servidor web y evitar que el contenido de wp-content/uploads (en particular uploads/wpcf7_uploads/) se ejecute como PHP u otro script.
  • Revisar uploads/wpcf7_uploads/ en busca de archivos sospechosos, por ejemplo .php, .phar, .pht, .phps o un .htaccess inesperado, sobre todo en sitios que tuvieron 6.2 a 6.2.3 con formularios de subida. Esta revisión es una recomendación general; el proveedor no publicó indicadores de compromiso.
  • Si no se puede actualizar de inmediato, considerar desactivar temporalmente el campo de archivo en los formularios públicos. Es una reducción de riesgo, no un sustituto del parche.
  • Tener en cuenta que el parche cierra la falla, pero no elimina un archivo ya subido ni revierte un compromiso previo.

Solución

La solución consiste en actualizar Contact Form 7 a la versión 6.2.5 en todos los sitios afectados (o, como mínimo, a 6.2.4 o posterior, que es la que corrige CVE-2026-114432), revisar los formularios que aceptan archivos, desactivar el listado de directorios y examinar uploads/wpcf7_uploads/ por si quedaron archivos sospechosos. La versión 6.2.4.1 solo actualiza una biblioteca y no es un segundo parche de esta vulnerabilidad; 6.2.5 es la versión actual de llegada e incluye la corrección más dos arreglos menores de fuga de información.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://contactform7.com/2026/10/29/contact-form-7-624/

Información adicional: