Por Canuto  

Dos vulnerabilidades críticas que afectan a sitios WordPress y dispositivos SonicWall ya están siendo utilizadas en ataques reales apenas días después de que sus respectivos parches fueran publicados. Los fallos pueden permitir desde tomar control completo de un sitio web hasta acceder a funciones internas de redes corporativas.

***

  • Bricksforge, complemento utilizado en unos 6.000 sitios WordPress, presenta una vulnerabilidad crítica que permite cargar y ejecutar código PHP sin autenticación.
  • Patchstack detectó los primeros intentos de explotación de CVE-2026-85097 el 7 de octubre; la versión 3.1.8.10 corrige el problema.
  • SonicWall corrigió el 6 de octubre CVE-2026-102255, una falla con CVSS 10,0 en dispositivos SMA 1000.
  • Previdian ya contabiliza 135 intentos de explotación contra la falla de SonicWall procedentes de dos direcciones IP.

 

La conocida carrera entre defensores y atacantes volvió a quedar en evidencia esta semana.

Dos vulnerabilidades críticas que afectan a tecnologías ampliamente utilizadas —un complemento para WordPress y los dispositivos de acceso remoto SonicWall SMA 1000— comenzaron a registrar intentos de explotación poco después de la publicación de sus respectivos parches.

Aunque los incidentes no están relacionados entre sí, ambos muestran un patrón que se ha vuelto recurrente en ciberseguridad: una vez que se divulga una vulnerabilidad y aparece una corrección, los atacantes analizan rápidamente el parche para identificar el fallo y automatizar su explotación contra sistemas que todavía no han sido actualizados.

Bricksforge: una puerta para ejecutar código en WordPress

El primero de los problemas afecta a Bricksforge, un complemento comercial para WordPress que amplía las funciones del constructor visual Bricks Builder.

El plugin incorpora herramientas para formularios personalizados, animaciones, gestión de datos dinámicos, diseño de correos electrónicos y modificaciones del área administrativa de WordPress. Patchstack estima que está instalado en aproximadamente 6.000 sitios web.

La vulnerabilidad, identificada como CVE-2026-85097, afecta a Bricksforge hasta la versión 3.1.8.9 inclusive y fue corregida en la actualización 3.1.8.10. Patchstack la clasifica con una puntuación CVSS 10,0, la máxima posible dentro de ese sistema de severidad.

El problema permite que un atacante sin credenciales cargue archivos arbitrarios en el servidor y posteriormente ejecute código PHP. En términos prácticos, un actor malicioso podría convertir una simple petición enviada desde Internet en una vía para ejecutar comandos dentro del sitio comprometido.

Una explotación exitosa puede desembocar en ejecución remota de código (RCE) y, en último término, permitir que el atacante tome control del sitio WordPress. Patchstack detectó los primeros intentos de explotación el 7 de octubre de 2026 a las 21:47 UTC, prácticamente inmediatamente después de que el problema empezara a hacerse público. La empresa identificó además patrones que sugieren automatización.

En uno de los grupos observados, decenas de direcciones IP enviaron solicitudes prácticamente idénticas en cuestión de segundos. En otro, los atacantes probaron múltiples variantes de extensiones PHP y codificaciones contra el mismo archivo temporal.

Ese comportamiento es compatible con campañas automatizadas que utilizan proxies rotativos o infraestructura distribuida para localizar rápidamente instalaciones vulnerables.

No existe, sin embargo, evidencia suficiente para atribuir esos intentos a un grupo específico.

Administradores de WordPress deberían actualizar de inmediato

Patchstack recomienda actualizar Bricksforge a 3.1.8.10 o una versión posterior. Los administradores que hayan ejecutado versiones vulnerables también deberían revisar registros históricos y el sistema de archivos en busca de actividad anómala.

Entre los indicadores señalados por la firma están solicitudes sospechosas a la API REST de Bricksforge, archivos PHP inesperados dentro de directorios de carga y peticiones dirigidas posteriormente a esos archivos.

El riesgo no se limita a sitios de gran tráfico. Las campañas automatizadas normalmente escanean amplios segmentos de Internet buscando instalaciones vulnerables, por lo que un sitio pequeño puede convertirse en objetivo simplemente por ejecutar una versión vulnerable del plugin.

Patchstack advierte precisamente que este tipo de fallos suele utilizarse en campañas de explotación masiva.

SonicWall: vulnerabilidad de máxima severidad en dispositivos SMA 1000

El segundo incidente afecta a SonicWall Secure Mobile Access 1000, una familia de dispositivos utilizada por empresas para proporcionar acceso remoto seguro a aplicaciones y redes corporativas.

La vulnerabilidad, registrada como CVE-2026-102255, recibió una puntuación CVSS 10,0. SonicWall la describe como un fallo de Server-Side Request Forgery, o SSRF, previo a la autenticación.

Una vulnerabilidad SSRF permite, en términos generales, manipular un servidor para que realice solicitudes hacia otros sistemas o recursos en nombre del atacante. En este caso concreto, SonicWall explicó que el problema puede permitir a un atacante remoto dirigir al dispositivo hacia funciones internas y realizar operaciones no autorizadas sin necesitar autenticarse previamente.

SonicWall publicó las correcciones mediante las versiones 12.4.3-03670 y 12.5.0-03082 de sus platform-hotfix. La compañía recomienda que todas las organizaciones con dispositivos SMA 1000 afectados, físicos o virtuales, actualicen a las versiones corregidas.

135 intentos de explotación en pocos días

La ventana entre la corrección y la actividad ofensiva fue nuevamente muy corta.

SonicWall publicó su aviso inicial el 5 de octubre y lo actualizó el día 6. Para el 8 de octubre, firmas de inteligencia de amenazas ya estaban detectando actividad relacionada con la vulnerabilidad.

Los sensores de Previdian han registrado hasta ahora 135 intentos de explotación, vinculados a dos direcciones IP. La actividad más reciente detectada por la compañía para CVE-2026-102255 corresponde al 10 de octubre.

Al momento de la publicación de esta nota, el aviso oficial de SonicWall todavía indica que la empresa no tiene evidencia propia de explotación activa, aunque la telemetría independiente de terceros ya refleja intentos contra sistemas expuestos.

CVE-2026-102255 tampoco es el primer problema reciente de seguridad que afecta a SMA 1000.

Durante 2026, otros fallos críticos de esta familia de dispositivos fueron utilizados como vulnerabilidades de día cero para comprometer equipos expuestos a Internet, desplegar malware y obtener acceso persistente a redes empresariales.

Ese historial eleva el riesgo para organizaciones que todavía mantienen dispositivos sin actualizar conectados directamente a Internet.

El parche público también inicia una carrera contra el tiempo

Los casos de Bricksforge y SonicWall ilustran uno de los dilemas fundamentales de la gestión moderna de vulnerabilidades.

Publicar una actualización permite que administradores y equipos de seguridad corrijan el problema, pero también proporciona a los atacantes información que puede utilizarse para reconstruir la vulnerabilidad mediante ingeniería inversa.

Comparando una versión vulnerable con la versión corregida, investigadores —y también actores maliciosos— pueden identificar qué código cambió, deducir la causa del fallo y desarrollar rápidamente herramientas para buscar sistemas que todavía no hayan sido actualizados.

El resultado es lo que en la industria suele denominarse “n-day exploitation”: ataques contra vulnerabilidades ya conocidas y corregidas, pero que continúan presentes en sistemas que permanecen sin parchear.

En estos casos, la gravedad de la vulnerabilidad es solo una parte de la ecuación. La existencia de explotación activa modifica sustancialmente la prioridad operativa.

Para administradores de WordPress que utilicen Bricksforge, la recomendación es actualizar inmediatamente a 3.1.8.10 o superior y revisar el servidor en busca de señales de compromiso.

Las organizaciones que operen dispositivos SonicWall SMA 1000 deberían, por su parte, instalar los hotfix 12.4.3-03670 o 12.5.0-03082, según corresponda, y examinar registros de actividad de los equipos expuestos a Internet.

Cuando una vulnerabilidad crítica empieza a ser explotada apenas horas o días después de divulgarse, la actualización deja de ser simplemente mantenimiento preventivo: se convierte en una carrera contra atacantes que ya están buscando el siguiente sistema rezagado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados