🚨 Se ha publicado la vulnerabilidad CVE-2026-15303 con una puntuación CVSS de 9,8 (CRÍTICA). Permite a atacantes no autenticados suplantar cualquier usuario de WordPress, incluidos administradores, explotando el plugin 6Storage Rentals hasta la versión 2.27.0. La actualización inmediata es crítica.
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-15303 |
| Fabricante | PHP Group |
| Producto | PHP (plugin 6Storage Rentals para WordPress) |
| Fecha de publicación | 2026-08-15 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad Ryzer | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-15303 es una vulnerabilidad de evasión de autenticación (CWE-287) que afecta al plugin 6Storage Rentals para WordPress, en versiones hasta la 2.27.0 inclusive. Aunque el aviso original la relaciona con PHP, el fallo reside en el plugin de WordPress. El problema se debe a que el manejador AJAX six_storage_create_wp_user() está registrado en wp_ajax_nopriv_six_storage_create_wp_user sin ninguna verificación de nonce, capacidad, credenciales ni propiedad. Además, el código llama a wp_set_current_user() y wp_set_auth_cookie() para cualquier usuario de WordPress que el atacante pueda resolver mediante una dirección de correo electrónico. Esto permite que atacantes no autenticados inicien sesión como cualquier usuario existente de WordPress, incluidos administradores, simplemente proporcionando la dirección de correo electrónico de la víctima.
La vulnerabilidad fue identificada por Wordfence y publicada en la base de datos NVD el 15 de agosto de 2026. Su vector de ataque es remoto, no requiere privilegios ni interacción del usuario, y la complejidad del ataque es baja.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| 6Storage Rentals (plugin WordPress) | Todas las versiones hasta 2.27.0 inclusive |
No se han publicado versiones anteriores o posteriores como afectadas por las fuentes consultadas.
Impacto y riesgo
El impacto es crítico porque:
- Confidencialidad: Alta: un atacante puede acceder a la información de cualquier usuario, incluido el administrador.
- Integridad: Alta: puede modificar contenidos, instalar plugins maliciosos o modificar la configuración del sitio.
- Disponibilidad: Alta: podría eliminar o corromper datos, provocar denegación de servicio o tomar el control total del sitio.
La combinación de autenticación nula y acceso remoto sin restricciones hace que esta vulnerabilidad sea extremadamente peligrosa para cualquier sitio WordPress que use el plugin 6Storage Rentals.
Estado de explotación conocida
Según las fuentes consultadas (NVD y CVE.org), no se menciona explotación activa en la naturaleza. La selección de esta vulnerabilidad por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS superior a 9.0, no en evidencia de explotación. Se recomienda no inventar ni asumir explotación sin confirmación oficial.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas. No se han extraído indicadores estructurados (direcciones IP, dominios, hashes, etc.) de la información disponible. No deben inventarse.
Cómo comprobar si estás afectado
Para verificar si tu sitio WordPress está expuesto:
- Revisa la versión del plugin 6Storage Rentals instalada desde el panel de administración de WordPress: Plugins → Plugins instalados.
- Si la versión es igual o inferior a 2.27.0, el sitio es vulnerable.
- Consulta el aviso oficial de Wordfence (enlaces en fuentes) para obtener detalles adicionales sobre la verificación.
No se proporcionan comandos específicos desde las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar el plugin 6Storage Rentals a una versión superior a la 2.27.0 tan pronto como esté disponible. Si aún no hay actualización oficial, se deben considerar medidas temporales:
- Deshabilitar o eliminar el plugin hasta que se publique un parche.
- Implementar reglas de firewall de aplicaciones web (WAF) que bloqueen las peticiones AJAX no autenticadas al endpoint vulnerable.
- Monitorear la actividad de inicio de sesión en busca de accesos inusuales.
Consulta las referencias de Wordfence y NVD para seguir las actualizaciones del fabricante.
Checklist para administradores
- ☐ Verificar la versión del plugin 6Storage Rentals en todos los sitios WordPress gestionados.
- ☐ Aplicar la actualización de seguridad tan pronto como esté disponible.
- ☐ Mientras tanto, considerar la desactivación temporal del plugin.
- ☐ Revisar los registros de actividad (por ejemplo, logs de WP o WAF) en busca de accesos sospechosos.
- ☐ Forzar cambio de contraseñas de todos los usuarios administradores por precaución.
- ☐ Revisar la configuración de seguridad general del WordPress (nonces, capabilities, etc.).
Preguntas frecuentes
¿Qué es CVE-2026-15303?
Es una vulnerabilidad crítica de evasión de autenticación en el plugin 6Storage Rentals para WordPress, que permite a un atacante no autenticado iniciar sesión como cualquier usuario del sitio.
¿Afecta a PHP directamente?
No, el fallo está en el plugin de WordPress. El aviso original lo etiqueta como PHP por convención, pero el producto afectado es el plugin 6Storage Rentals.
¿Qué versiones están afectadas?
Todas las versiones del plugin hasta la 2.27.0 inclusive.
¿Hay parche disponible?
Las fuentes oficiales no indican una versión parcheada específica. Se recomienda estar atento a las actualizaciones del plugin.
¿Se está explotando activamente?
No hay evidencia de explotación activa en las fuentes consultadas. La alerta se basa en la gravedad y la facilidad de explotación.
¿Cómo proteger mi sitio mientras espero la actualización?
Deshabilitar el plugin, implementar reglas WAF y monitorear los registros de acceso son medidas temporales eficaces.