Qué hacer
esta semana 3 de agosto de 2026
critica · chile

Dos alertas críticas de WordPress en quince días, y un sitio chileno ya sirviendo phishing

CVE-2026-63030, en el endpoint de procesamiento por lotes de la API REST de WordPress: explotable de forma remota y sin autenticación. Encadenada con CVE-2026-60137 permite manipular consultas a la base de datos y llegar a ejecución remota de código.

Esta semana — prioridad 1

Actualizar el núcleo a 6.8.6, 6.9.5 o 7.0.2 o posterior, y verificar que quedó aplicado. Un tema o plugin que bloquea las actualizaciones automáticas es más común de lo que parece. esfuerzo bajo · attack M1051 · cis 7.3 · iso27001 A.8.8
Impedir la ejecución de PHP dentro de wp-content/uploads desde la configuración del servidor web. No rompe nada legítimo y anula la persistencia más común. esfuerzo bajo · attack M1042 · cis 2.7 · iso27001 A.8.19
Ejecutar la verificación de compromiso antes de dar el sitio por seguro: PHP recientes en wp-content, PHP en uploads y administradores no reconocidos. Parchar no limpia un sitio ya comprometido. esfuerzo medio · cis 8.11 · iso27001 A.8.16

Este mes — prioridad 2

Restringir /wp-admin y /wp-login.php por IP o exigir un segundo factor. El panel de administración no necesita estar abierto a internet completo. esfuerzo medio · attack M1035 · cis 6.5 · iso27001 A.8.5
Desplegar un WAF delante del sitio. No reemplaza al parche, pero compra los días que separan la publicación de la vulnerabilidad de tu ventana de mantención. esfuerzo medio · attack M1050 · cis 13.10 · iso27001 A.8.20

Indicadores a bloquear

Tipo	Indicador
url	https://bioredox.cl/wp-content/in/app/index.php
user-agent	/wp-json/batch/v1

Qué necesitas tener logueado

Registros de acceso del servidor web, con URI completa y cabeceras de cookie
Eventos de archivo del EDR sobre el directorio del sitio, o monitoreo de integridad
Tabla de usuarios de WordPress, revisada contra el listado real del equipo
Registros del WAF si existe, para ver intentos bloqueados que indican interés en tu sitio

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/wordpress-dos-alertas-criticas-quince-dias-chile/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.