Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-18072 |
| Fabricante | PHP Group (plugin de WordPress por nico23) |
| Producto | Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … |
| Fecha de publicación | 2026-07-29 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-18072 es un backdoor con credenciales hardcodeadas (CWE-506) en el plugin Advanced Responsive Video Embedder (ARVE) para WordPress, versión 10.8.7. El plugin permite incrustar vídeos de plataformas como Rumble, Odysee, YouTube, Vimeo, Kick, etc.
El fallo reside en la función _arve_uc_init(), que se registra en el hook init de WordPress con prioridad 1, ejecutándose antes de cualquier comprobación de autenticación en cada petición. Esta función lee un token proporcionado por el atacante desde los parámetros _wplogin o _wpm y lo compara con un hash SHA-256 hardcodeado en el código fuente del plugin. No existe verificación nonce, comprobación de capacidades ni validación de contraseña.
Dado que el hash estático es público (visible en el código fuente del plugin), cualquier atacante no autenticado puede enviar el token conocido y autenticarse como cualquier cuenta de administrador existente, obteniendo control total del sitio WordPress. Se sospecha que el backdoor fue introducido por un atacante que obtuvo acceso de commit a la cuenta del desarrollador.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … | 10.8.7 |
No se han publicado otras versiones afectadas por las fuentes consultadas.
Impacto y riesgo
El impacto es crítico (CVSS 9.8). Un atacante remoto no autenticado puede:
- Obtener acceso administrativo completo al sitio WordPress.
- Modificar, eliminar o publicar contenido.
- Instalar plugins o temas maliciosos.
- Crear nuevos usuarios administradores.
- Exfiltrar datos de la base de datos (información de usuarios, contraseñas, etc.).
- Utilizar el sitio como plataforma para ataques adicionales.
Dado que el vector de ataque es remoto y no requiere autenticación, cualquier sitio que tenga instalada la versión 10.8.7 del plugin está en riesgo inminente.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org) no indican explotación activa en curso. Sin embargo, la vulnerabilidad es trivial de explotar y el código malicioso es público, por lo que se recomienda actuar con máxima urgencia.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para verificar si tu sitio WordPress está afectado:
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Busca el plugin Advanced Responsive Video Embedder.
- Comprueba la versión: si es exactamente 10.8.7, el sitio está afectado.
- Si no ves el plugin, comprueba en la carpeta
/wp-content/plugins/advanced-responsive-video-embedder/mediante FTP o gestor de archivos.
No se han publicado otros métodos de comprobación por las fuentes consultadas.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Mientras no haya una actualización oficial, se recomienda:
- Desactivar y eliminar el plugin Advanced Responsive Video Embedder si no es imprescindible.
- Si es necesario, bloquear temporalmente el acceso a los archivos del plugin mediante reglas de firewall de aplicación web (WAF) o .htaccess.
- Monitorizar los logs de acceso en busca de peticiones con los parámetros
_wplogino_wpm. - Revisar si existen cuentas de administrador desconocidas o actividad sospechosa reciente.
Checklist para administradores
- ☐ Identificar si el plugin ARVE está instalado y su versión.
- ☐ Si la versión es 10.8.7, desactivar y eliminar el plugin inmediatamente.
- ☐ Revisar la lista de usuarios administradores en busca de cuentas no autorizadas.
- ☐ Cambiar todas las contraseñas de administradores y claves de API.
- ☐ Revisar logs de acceso en busca de peticiones con
_wplogino_wpm. - ☐ Realizar un escaneo de seguridad completo del sitio (plugins, temas, archivos).
- ☐ Mantener copias de seguridad recientes y verificar su integridad.
- ☐ Suscribirse a las alertas de seguridad del fabricante o de fuentes como NVD.
Preguntas frecuentes
¿Qué es CVE-2026-18072?
Es una vulnerabilidad crítica que permite a un atacante no autenticado eludir la autenticación en sitios WordPress que usen el plugin Advanced Responsive Video Embedder versión 10.8.7, gracias a un backdoor con credenciales hardcodeadas.
¿Qué versiones están afectadas?
Según las fuentes, solo la versión 10.8.7 del plugin está confirmada como afectada.
¿Cómo puedo protegerme?
Desactiva y elimina el plugin inmediatamente. Si es necesario, aplica las mitigaciones recomendadas y espera una actualización oficial del fabricante.
¿Se está explotando activamente?
Las fuentes consultadas no indican explotación activa, pero la vulnerabilidad es pública y fácil de explotar.
¿Qué hago si ya he sido comprometido?
Cambia todas las contraseñas, elimina cuentas de administrador sospechosas, restaura desde una copia de seguridad limpia y contacta con un especialista en seguridad.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación, especialmente en el aviso de NVD y Wordfence.