Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-18391 | No publicado por las fuentes consultadas | WooCommerce Subscriptions | 2026-08-12 | CRITICAL | 9.8 | 230 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad afecta al plugin WooCommerce Subscriptions de WordPress antes de la versión 9.1.0. Cuando el almacenamiento de pedidos de alto rendimiento está habilitado, el plugin no valida la entrada del usuario antes de deserializarla. Esto permite la inyección de objetos PHP (PHP Object Injection) que, a su vez, puede ser explotada por usuarios no autenticados para ejecutar código remoto (Remote Code Execution) mediante una cadena de gadgets presente en las dependencias incluidas.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| No publicado por las fuentes consultadas | WooCommerce Subscriptions | Menor que 9.1.0 |
Impacto y riesgo
La explotación de esta vulnerabilidad permite a atacantes ejecutar código arbitrario en el servidor, comprometer la integridad y disponibilidad de la tienda, robar datos sensibles y potencialmente comprometer todo el sitio WordPress.
Estado de explotación conocida
No publicado por las fuentes consultadas.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas.
Cómo comprobar si estás afectado
Verifica la versión actual de WooCommerce Subscriptions instalada en tu sitio. Si la versión es menor que 9.1.0 y el almacenamiento de pedidos de alto rendimiento está habilitado, tu sitio es vulnerable.
Mitigación y actualización
Actualiza WooCommerce Subscriptions a la versión 9.1.0 o superior. Si la actualización no es posible de inmediato, consulta el aviso oficial del fabricante para aplicar la mitigación publicada.
Checklist para administradores
- ☐ Verificar la versión de WooCommerce Subscriptions.
- ☐ Confirmar que el almacenamiento de pedidos de alto rendimiento está habilitado.
- ☐ Aplicar la actualización a la versión 9.1.0 o superior.
- ☐ Revisar los registros de auditoría en busca de actividad sospechosa.
- ☐ Implementar controles de acceso y autenticación robustos.
Preguntas frecuentes
1. ¿Cómo afecta esta vulnerabilidad a mi tienda?
Permite a atacantes ejecutar código remoto, comprometiendo la seguridad del sitio y la información de los clientes.
2. ¿Puedo desactivar el almacenamiento de pedidos de alto rendimiento para mitigar?
Desactivarlo puede reducir el riesgo, pero no elimina la vulnerabilidad. La actualización es la solución definitiva.
3. ¿Necesito cambiar contraseñas después de actualizar?
Es recomendable cambiar contraseñas administrativas y de base de datos como medida de seguridad adicional.
4. ¿Existen parches temporales?
El fabricante ha publicado una mitigación que se debe aplicar si la actualización no es posible de inmediato.
5. ¿Dónde puedo encontrar más información?
Consulta las fuentes oficiales listadas a continuación.