Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-63030 | WordPress | WordPress | 2026-07-17 | CRITICAL | 9.8 | 210 | Actualizar a WordPress 6.9.5 o 7.0.2 |
Qué es la vulnerabilidad
WordPress 6.9.x antes de 6.9.5 y 7.0.x antes de 7.0.2 están afectados por un problema de confusión en la ruta del endpoint batch de la API REST que, combinado con la inyección SQL en WP_Query author__not_in (CVE-2026-60137), podría permitir a un atacante realizar inyección SQL y lograr ejecución remota de código.
Productos y versiones vulnerables
| Producto | Versiones afectadas | Versión parcheada |
|---|---|---|
| WordPress | 6.9.0 – 6.9.4 | 6.9.5 |
| WordPress | 7.0.0 – 7.0.1 | 7.0.2 |
Impacto y riesgo
Esta vulnerabilidad crítica (CVSS 9.8) permite a un atacante remoto sin autenticación realizar inyección SQL y potencialmente lograr ejecución remota de código en el sistema afectado.
Estado de explotación conocida
No publicado por las fuentes consultadas.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas.
Cómo comprobar si estás afectado
Verifica la versión de WordPress en el panel de administración. Si es 6.9.0-6.9.4 o 7.0.0-7.0.1, estás afectado.
Mitigación y actualización
Actualiza inmediatamente a WordPress 6.9.5 o 7.0.2, disponibles en wordpress.org.
Checklist para administradores
- ☐ Verificar versión de WordPress
- ☐ Hacer backup completo del sitio
- ☐ Actualizar a la versión parcheada
- ☐ Revisar logs para actividad sospechosa
Preguntas frecuentes
¿Qué versiones de WordPress están afectadas?
WordPress 6.9.x antes de 6.9.5 y 7.0.x antes de 7.0.2.
¿Se conoce explotación activa?
No publicado por las fuentes consultadas.
¿Cómo puedo protegerme?
Actualizando inmediatamente a WordPress 6.9.5 o 7.0.2.
¿Requiere el atacante credenciales?
No, la vulnerabilidad puede explotarse sin autenticación.