Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-32566 | ACPT | ACPT (Pro) – Custom Post Types Plugin for WordPress | 2026-08-27 | CRITICAL | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) | 210 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-32566 consiste en una escalada de privilegios sin autenticación (Unauthenticated Privilege Escalation) en el plugin ACPT (Pro) – Custom Post Types Plugin for WordPress en sus versiones 2.0.63 y anteriores. Un atacante remoto, sin necesidad de credenciales, puede aprovechar una asignación incorrecta de privilegios (CWE-266) para obtener permisos de administrador en el sitio WordPress afectado.
Productos y versiones vulnerables
| Fabricante | Producto | Versión afectada |
|---|---|---|
| ACPT | ACPT (Pro) – Custom Post Types Plugin for WordPress | ≤ 2.0.63 |
La información proviene de la base de datos CVE.org (CNA) y no se han publicado otras versiones afectadas.
Impacto y riesgo
El vector CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica:
- Vector de ataque: Red (AV:N) – explotable remotamente.
- Complejidad baja: AC:L – no se requieren condiciones especiales.
- Sin privilegios previos: PR:N – el atacante no necesita autenticación.
- Sin interacción del usuario: UI:N.
- Impacto alto en confidencialidad, integridad y disponibilidad: C:H/I:H/A:H.
Esto significa que un atacante puede tomar el control total del sitio WordPress, acceder a datos sensibles, modificar contenido y interrumpir el servicio.
Estado de explotación conocida
No se ha reportado explotación activa en las fuentes consultadas (NVD, CVE.org, Patchstack). La selección del bot se basa en la publicación reciente y la puntuación CVSS ≥ 9.0, no en evidencia de explotación en la wild.
Indicadores de compromiso (IOC)
No se han publicado IOC estructurados en las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Localiza ACPT (Pro) – Custom Post Types Plugin for WordPress.
- Verifica la versión mostrada; si es 2.0.63 o anterior, el sitio es vulnerable.
No se proporcionan comandos de línea de órdenes porque la comprobación se realiza desde la interfaz de WordPress.
Mitigación y actualización
- Actualiza el plugin a la versión más reciente publicada por el desarrollador (superior a 2.0.63).
- Si no hay actualización disponible, desactiva y elimina el plugin hasta que se publique un parche.
- Revisa el aviso oficial en Patchstack para detalles adicionales.
- Aplica las mejores prácticas de hardening de WordPress (limitar acceso a wp-admin, usar WAF, monitorizar logs).
Checklist para administradores
- ☐ Verificar la versión del plugin ACPT (Pro) en todos los sitios gestionados.
- ☐ Actualizar a la versión parcheada o desactivar el plugin si no hay parche.
- ☐ Revisar logs de acceso en busca de actividad sospechosa posterior a la fecha de publicación (2026-08-27).
- ☐ Aplicar reglas de WAF para bloquear intentos de explotación conocidos.
- ☐ Comunicar a los equipos de desarrollo y seguridad la existencia de la CVE-2026-32566.
- ☐ Documentar la acción realizada en el registro de cambios de seguridad.
Preguntas frecuentes
- ¿Qué CVE se trata?
- CVE-2026-32566, una escalada de privilegios sin autenticación en ACPT (Pro) para WordPress.
- ¿Qué versiones están afectadas?
- Todas las versiones ≤ 2.0.63 del plugin ACPT (Pro) – Custom Post Types Plugin for WordPress.
- ¿Cuál es la gravedad?
- CRITICAL con CVSS 9.8 (impacto alto en confidencialidad, integridad y disponibilidad).
- ¿Hay explotación activa confirmada?
- No, las fuentes consultadas no reportan explotación activa en la wild.
- ¿Dónde obtengo el parche?
- En el repositorio oficial del plugin o en la página del desarrollador; también se referencia en el aviso de Patchstack.
- ¿Qué hago si no hay actualización disponible?
- Desactiva y elimina el plugin temporalmente, y monitoriza la aparición de un parche.