Cadena de vulnerabilidades en WordPress permite RCE sin autenticación
ANCI alertó a operadores de importancia vital sobre dos CVEs en el endpoint de procesamiento por lotes de la API REST que, combinados, permitirían tomar control completo del servidor sin credenciales previas.
- ANCI (AVC26-00724) alertó una cadena de dos vulnerabilidades en WordPress —CVE-2026-63030 y CVE-2026-60137— que combinadas permitirían ejecución remota de código sin autenticación previa.
- La falla inicial está en el endpoint de procesamiento por lotes de la API REST (
/wp/v2/batch), una funcionalidad del núcleo presente en prácticamente toda instalación activa de WordPress, no en un plugin específico. - La alerta apunta explícitamente a proveedores de servicios esenciales y operadores de importancia vital bajo la Ley 21.663; el aviso de ANCI no especifica versiones parcheadas ni fecha de disponibilidad del fix.
Qué pasó
El CSIRT Nacional publicó el aviso AVC26-00724 describiendo una cadena de dos vulnerabilidades en WordPress:
- CVE-2026-63030: falla en el endpoint de procesamiento por lotes de la API REST (
/wp/v2/batch), explotable de forma remota y sin autenticación. - CVE-2026-60137: al combinarse con la anterior, permitiría manipular consultas a la base de datos y, según el aviso, llegar a ejecución remota de código en el servidor.
Según ANCI, la explotación exitosa de la cadena podría permitir acceso no autorizado al sitio, modificación o eliminación de información, creación de cuentas administrativas, instalación de archivos maliciosos y control completo del servidor.
Lo que el aviso no entrega —y que es relevante dejar explícito— es: versiones de WordPress afectadas y parcheadas, fecha de liberación de un fix oficial, y evidencia de explotación activa en la fuente. No sabemos si ya existe una versión corregida disponible en wordpress.org al momento de esta publicación; se recomienda verificar directamente en el panel de actualizaciones del sitio y en el registro de cambios oficial.
El endpoint batch de la API REST es una funcionalidad del núcleo introducida para agrupar múltiples solicitudes en una sola llamada (usada, entre otros, por el editor de bloques Gutenberg). Que la falla esté en el núcleo y no en un plugin de terceros amplía la superficie: afecta a cualquier instalación con la API REST habilitada, que es la configuración por defecto.
Por qué importa acá
WordPress es, con distancia, el CMS más usado en sitios institucionales, municipales, de medios y de pymes en Chile. Muchos de esos sitios corren con configuraciones por defecto, sin WAF, y con procesos de actualización manuales o inexistentes.
Dos elementos elevan esto de "otra vulnerabilidad de WordPress" a algo que merece acción esta semana:
- No requiere autenticación. La mayoría de las cadenas de explotación en WordPress parten de un plugin vulnerable y credenciales válidas o un usuario con permisos bajos. Acá el punto de entrada es un endpoint público.
- ANCI la dirigió específicamente a OIV/PSE. El aviso usa el lenguaje reservado para vulnerabilidades que la autoridad considera con potencial de afectar infraestructura crítica, lo que activa el deber de evaluación —y eventual reporte— bajo la Ley 21.663.
Evaluación (confianza media): dado que el endpoint es público y no requiere autenticación, es razonable esperar escaneo masivo automatizado en las próximas semanas, como ocurre históricamente con vulnerabilidades no autenticadas de WordPress. La alternativa que no podemos descartar es que la complejidad de encadenar ambos CVEs sea mayor a la que sugiere el resumen de ANCI y retrase la aparición de exploits públicos funcionales. Lo vamos a seguir.
Anatomía del ataque
Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.
T1190— El endpoint/wp/v2/batchde la API REST, expuesto públicamente y sin autenticación, es el punto de entrada de la cadena descrita por ANCI.T1190— CVE-2026-60137 permitiría, según ANCI, manipular consultas a la base de datos a partir del acceso obtenido por la primera falla; el resultado reportado es ejecución remota de código.T1136— ANCI menciona explícitamente la creación de cuentas administrativas como impacto posible de la cadena, lo que da persistencia sobre el sitio comprometido.T1505.003— La instalación de "archivos maliciosos" que describe ANCI es consistente con el despliegue de un web shell tras lograr escritura en el servidor.
Estructurado sobre las seis funciones del NIST CSF 2.0, según el ciclo de respuesta a incidentes de NIST SP 800-61r3 (abril 2025, reemplaza al r2). Proteger y Detectar vienen abiertas.
GV GobernarQuien decide, que se reporta y a quien
Si su organización es un Proveedor de Servicios Esenciales u Operador de Importancia Vital bajo la Ley 21.663, este aviso activa el deber de evaluar si algún activo regulado corre WordPress con la API REST habilitada. No citamos plazos de reporte específicos porque el aviso de ANCI no los detalla en el resumen disponible; verifique el plazo aplicable directamente en el portal de ANCI antes de comprometerse con una fecha.
- Determinar si la organización califica como OIV/PSE y si algún activo con WordPress está dentro del alcance regulado
- Designar un responsable único para el seguimiento de este aviso y su cierre
- Si se confirma explotación, iniciar el proceso de reporte a ANCI según el procedimiento vigente de la organización
ID IdentificarSi esto me toca, por donde me toca
El primer paso práctico es saber cuántas instancias de WordPress expuestas a internet tiene la organización y si alguna de ellas expone la API REST batch sin restricciones.
- Inventariar todos los sitios y subdominios que corren WordPress, incluyendo microsites de campañas o eventos que suelen quedar fuera del inventario formal
- Para cada uno, probar si
/wp-json/wp/v2/batchresponde sin autenticación (una respuesta 200 en lugar de 401/403 indica exposición) - Revisar si hay un WAF o reverse proxy delante de esos sitios y si tiene reglas activas sobre
/wp-json/ - Listar la versión de WordPress y de plugins críticos de cada instancia inventariada
PR ProtegerComo evito que ocurra
Mientras no haya un parche oficial confirmado, la mitigación pasa por reducir la exposición del endpoint y limitar el radio de daño si se explota.
Controles priorizados
P1: esta semana · P2: este mes · P3: este trimestre
| Prio | Control | Esfuerzo | Mapeo |
|---|---|---|---|
| P1 | Bloquear o restringir en el WAF/reverse proxy el acceso público a /wp-json/wp/v2/batch para solicitudes sin cookie de sesión/nonce válido |
bajo | MITRE ATT&CK M1042 CIS Controls v8 4.1 ISO 27001 A.8.9 |
| P1 | Aplicar el parche oficial de WordPress en cuanto esté disponible, previa prueba en staging | bajo | MITRE ATT&CK M1051 CIS Controls v8 7.1 ISO 27001 A.8.8 |
| P2 | Reducir privilegios de la cuenta de base de datos usada por WordPress al mínimo necesario | medio | MITRE ATT&CK M1026 CIS Controls v8 6.8 ISO 27001 A.8.2 |
| P2 | Desplegar reglas de WAF específicas para /wp-json/ con inspección de patrones de inyección y límites de tasa |
medio | MITRE ATT&CK M1037 CIS Controls v8 13.10 ISO 27001 A.8.20 |
| P3 | Formalizar inventario de activos WordPress con dueño y responsable de parcheo | alto | MITRE ATT&CK M1047 CIS Controls v8 2.1 ISO 27001 A.5.9 |
Ninguno de estos controles reemplaza el parche oficial cuando esté disponible; son mitigaciones para el período en que la vulnerabilidad está pública y sin corrección confirmada.
DE DetectarComo me doy cuenta de que ya ocurrio
La detección se apoya en dos señales: volumen anómalo de solicitudes al endpoint batch, y solicitudes a ese endpoint sin las cabeceras de autenticación que un uso legítimo siempre trae (cookie de sesión o nonce de WordPress). Esto último es clave para bajar falsos positivos.
- Habilitar logging detallado del servidor web (nginx/Apache) con URI completa y método HTTP para todo el tráfico hacia
/wp-json/ - Establecer una línea base de uso legítimo del endpoint batch antes de activar alertas en modo bloqueante
- Revisar en logs históricos (30 días) solicitudes POST a
/wp-json/wp/v2/batchsin cookie de sesión asociada
Qué necesitas tener logueado
- Logs de acceso del servidor web (nginx/Apache) con URI completa y método HTTP
- Logs de WAF o reverse proxy delante de los sitios WordPress
- Logs de autenticación de WordPress (intentos de login, creación de usuarios)
- Integridad de archivos de `wp-content` (si hay FIM configurado)
Reglas y consultas de detección
title: Posible explotación de endpoint batch REST de WordPress
id: a3f5c8d2-4b17-4e9a-8f3d-6c1b2e9a4f70
status: experimental
description: Detecta volumen anómalo de solicitudes al endpoint /wp-json/wp/v2/batch, posible indicio de intento de explotación de CVE-2026-63030/CVE-2026-60137
references:
- https://csirt.gob.cl/alertas/AVC26-00724/
logsource:
category: webserver
detection:
selection:
cs-uri-stem|contains: '/wp-json/wp/v2/batch'
cs-method: 'POST'
timeframe: 5m
condition: selection | count(c-ip) by cs-uri-stem > 20
falsepositives:
- Uso legítimo del editor Gutenberg o herramientas de administración multisitio
level: high
tags:
- attack.initial-access
- attack.t1190
Syslog | where SyslogMessage has "/wp-json/wp/v2/batch" | where SyslogMessage has "POST" | extend SourceIP = extract(@"client=(\S+)", 1, SyslogMessage) | summarize Solicitudes = count() by SourceIP, bin(TimeGenerated, 5m) | where Solicitudes > 20
<rule id="100620" level="10"> <if_sid>31101</if_sid> <url>/wp-json/wp/v2/batch</url> <description>Posible intento de explotación de endpoint batch REST de WordPress (CVE-2026-63030/CVE-2026-60137)</description> <group>wordpress,web_attack,cve-2026-63030,</group> </rule>
El editor de bloques Gutenberg y algunas herramientas de administración multisitio usan el endpoint batch de forma legítima, siempre autenticadas (con cookie de sesión o nonce válido). Ajustar las reglas para que solo alerten sobre solicitudes sin esas credenciales, o para volúmenes que excedan claramente el patrón de un editor humano, reduce sustancialmente el ruido.
RS ResponderContencion y erradicacion
Si se detecta actividad sospechosa contra el endpoint o indicios de explotación (cuentas admin nuevas no reconocidas, archivos nuevos en wp-content), la contención debe ser rápida dado que el resultado final reportado por ANCI es control completo del servidor.
- Aislar el servidor afectado de la red mientras se investiga (mantener logs intactos)
- Revisar la lista de usuarios administradores de WordPress y comparar contra el registro conocido; suspender cuentas no reconocidas
- Buscar archivos PHP recientes o modificados en
wp-content/uploadsywp-content/pluginsno correspondientes a actualizaciones legítimas - Rotar credenciales de la base de datos y de todas las cuentas administrativas de WordPress
- Si la organización es OIV/PSE y se confirma explotación, iniciar el reporte formal a ANCI
RC RecuperarVolver a operar y no repetirlo
La recuperación debe partir de la premisa de que, si hubo explotación, el atacante pudo haber creado persistencia adicional a la evidente.
- Restaurar desde un backup anterior a la fecha estimada de compromiso, o reinstalar núcleo, temas y plugins desde fuentes oficiales
- Aplicar el parche oficial antes de volver a exponer el sitio a internet
- Forzar el cambio de todas las contraseñas (administradores, base de datos, claves de seguridad de
wp-config.php) - Monitorear el sitio con mayor intensidad durante al menos dos semanas tras la recuperación
- Incorporar el inventario de WordPress y su proceso de parcheo al ciclo regular de gestión de vulnerabilidades de la organización
Llévatelo
Lo de arriba explica. Esto se ejecuta. Son archivos, no capturas de pantalla: se abren, se pegan y funcionan.
La regla Sigma es la canónica: es el formato neutral del que se derivan las demás. Si tu SIEM no aparece en la lista, esa se convierte con pySigma. Las traducciones a motores concretos van sin validar contra tu modelo de datos — revisa los nombres de tabla y campo antes de subirlas a producción.
Fuentes
- ANCIWordPress - Vulnerabilidad Crítica (AVC26-00724) · 2026-07-20
- segu-infoXSS2Shell: de XSS a ejecución remota de código en WordPress · 2026-08-09
¿Esto te aplica y no sabes por dónde partir?
Revisamos tu exposición real frente a lo que describe este análisis: superficie expuesta, cobertura de detección y brechas frente a la Ley 21.663. Diagnóstico de 15 minutos, sin costo.
Agendar diagnósticoRelacionado
Falla crítica en Hitachi Energy Asset Suite expone servlets sin autenticación
CISA documentó dos CVEs con CVSS 8.1 en el software de gestión de activos que usan generadoras, transmisoras y distribui…
CVE-2026-65660 en SharePoint on-premise ya se explota activamente
CISA la sumó a su catálogo de explotación activa seis semanas después del parche de agosto. En paralelo, el ransomware W…
CISA suma falla crítica de Apple a su catálogo de explotación activa
CVE-2026-86950 afecta iOS, macOS y otros productos Apple; el parche de emergencia ya está disponible. Fuentes técnicas l…