Qué es
El 17 de julio de 2026, el NVD publicó CVE-2026-63030, una falla crítica en el núcleo de WordPress. La comunidad bautizó la cadena como WP2Shell: confusión de ruta en el REST API batch (/?rest_route=/batch/v1) más inyección SQL en author__not_in (CVE-2026-60137), lo que lleva a ejecución remota de código sin autenticación.
Explotación
- 20 de julio: CrowdSec ve las primeras explotaciones y publica una regla de detección.
- 21 de julio: CISA añade la CVE al catálogo KEV, con plazo federal hasta el 24 de julio.
- Severidad CVSS 9.8, con PoC y plantilla Nuclei públicos. En pocos días, miles de IP distintas barrieron internet.
Versiones afectadas y corrección
Afecta WordPress 6.9.x antes de 6.9.5 y 7.0.x antes de 7.0.2. La corrección llega en esas versiones. Al ser del núcleo, no depende de plugins: cualquier sitio desactualizado en internet es objetivo.
Qué hacer
Actualice de inmediato a 7.0.2 o 6.9.5, confirme que el auto-update se aplicó (incluido staging y hosts gestionados) y vigile el endpoint REST batch. Para pymes y agencias, es prioridad máxima.