==============================================================================
  CADENA DE VULNERABILIDADES EN WORDPRESS PERMITE RCE SIN AUTENTICACIÓN
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cadena-vulnerabilidades-wordpress-rce-api-rest-batch
  Publicado:   2026-09-11  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 06:20  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso del servidor web (nginx/Apache) con URI completa y método HTTP
  · Logs de WAF o reverse proxy delante de los sitios WordPress
  · Logs de autenticación de WordPress (intentos de login, creación de usuarios)
  · Integridad de archivos de wp-content (si hay FIM configurado)

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Solicitudes anómalas al endpoint batch de la API REST de WordPress (CVE-2026-63030)
==============================================================================
  Requiere: Logs de servidor web con campos de URI y método HTTP normalizados (category: webserver). Ajustar nombres de campo según el parser usado (nginx/apache).

title: Posible explotación de endpoint batch REST de WordPress
id: a3f5c8d2-4b17-4e9a-8f3d-6c1b2e9a4f70
status: experimental
description: Detecta volumen anómalo de solicitudes al endpoint /wp-json/wp/v2/batch, posible indicio de intento de explotación de CVE-2026-63030/CVE-2026-60137
references:
  - https://csirt.gob.cl/alertas/AVC26-00724/
logsource:
  category: webserver
detection:
  selection:
    cs-uri-stem|contains: '/wp-json/wp/v2/batch'
    cs-method: 'POST'
  timeframe: 5m
  condition: selection | count(c-ip) by cs-uri-stem > 20
falsepositives:
  - Uso legítimo del editor Gutenberg o herramientas de administración multisitio
level: high
tags:
  - attack.initial-access
  - attack.t1190

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Volumen anómalo hacia wp-json/wp/v2/batch
==============================================================================
  Requiere: Logs del servidor web (nginx/Apache) reenviados a Sentinel vía agente Syslog/AMA hacia la tabla Syslog. Si el sitio corre en Azure App Service, reemplazar por la tabla AppServiceHTTPLogs y adaptar los campos.

Syslog
| where SyslogMessage has "/wp-json/wp/v2/batch"
| where SyslogMessage has "POST"
| extend SourceIP = extract(@"client=(\S+)", 1, SyslogMessage)
| summarize Solicitudes = count() by SourceIP, bin(TimeGenerated, 5m)
| where Solicitudes > 20

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Detección de intentos contra endpoint batch de WordPress
==============================================================================
  Requiere: Decodificador de logs de acceso web activo (regla base 31101 de Apache/nginx en Wazuh) y wodle de recolección de logs del servidor web habilitado en el agente.

<rule id="100620" level="10">
  <if_sid>31101</if_sid>
  <url>/wp-json/wp/v2/batch</url>
  <description>Posible intento de explotación de endpoint batch REST de WordPress (CVE-2026-63030/CVE-2026-60137)</description>
  <group>wordpress,web_attack,cve-2026-63030,</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  El editor de bloques Gutenberg y algunas herramientas de administración
  multisitio usan el endpoint batch de forma legítima, siempre autenticadas
  (con cookie de sesión o nonce válido). Ajustar las reglas para que solo
  alerten sobre solicitudes sin esas credenciales, o para volúmenes que
  excedan claramente el patrón de un editor humano, reduce sustancialmente
  el ruido.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================