🚨 Alerta crítica: la vulnerabilidad CVE-2026-78657 afecta al plugin SigmaForms Pro – AI Generated Forms para WordPress. Su CVSS es 9.8, es decir, severidad crítica, y permite el borrado de archivos arbitrarios en el servidor, lo que puede derivar en ejecución remota de código si el atacante consigue eliminar ficheros sensibles como wp-config.php.
CVE-2026-78657 es una vulnerabilidad crítica publicada el 2 de septiembre de 2026. Aunque algunos metadatos iniciales la asocian a PHP, la descripción oficial y el CVE.org detallan que el producto vulnerable es el plugin SigmaForms Pro – AI Generated Forms para WordPress.
Campo
Dato
CVE
CVE-2026-78657
Fabricante
bdthemes
Producto
SigmaForms Pro – AI Generated Forms
Fecha de publicación
02/09/2026
Severidad
CRÍTICA
CVSS
9.8
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Puntuación de prioridad RyzerBot
230
Acción recomendada
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada
Qué es la vulnerabilidad
CVE-2026-78657 es una vulnerabilidad de borrado arbitrario de archivos en el plugin SigmaForms Pro – AI Generated Forms. La descripción oficial indica que la función delete_submission_files no realiza una validación adecuada de la ruta del archivo, lo que facilita un ataque de path traversal, clasificado como CWE-22.
Un atacante sin credenciales puede enviar una URL maliciosa a través del campo de subida de formularios. Esta ruta se guarda en la base de datos y, cuando un administrador elimina el registro de envío desde el panel de administración, el plugin intenta borrar el archivo indicado por el atacante. Si ese archivo es crítico para el sitio, como wp-config.php, la descripción de la fuente explica que el borrado puede facilitar una ejecución remota de código.
Detalles técnicos
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal).
CVSS base: 9.8
Explotabilidad: 3.9
Impacto: 5.9
Severidad: CRÍTICA
Productos y versiones vulnerables
Según la información publicada por CVE.org, el alcance se limita al siguiente producto:
Vendor
Producto
Versiones afectadas
bdthemes
SigmaForms Pro – AI Generated Forms
Todas hasta la versión 1.4.11 inclusive
La información del NVD no detalla una lista adicional de productos en su campo afectado. La vulnerabilidad no está referida como un fallo del núcleo de PHP en las referencias de CVE.org; el producto identificado es el plugin de WordPress antes citado.
Impacto y riesgo
Riesgo de explotación: la puntuación CVSS de 9.8 indica criticidad alta con impacto alto en confidencialidad, integridad y disponibilidad. El vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U:C:H/I:H/A:H refleja que la vulnerabilidad es atacable remotamente, sin privilegios y con impacto de confidencialidad alto.
La consecuencia principal es la posibilidad de borrar ficheros arbitrarios del sitio WordPress. La descripción oficial advierte que el borrado ejecutado puede ser un factor clave para una ejecución remota de código cuando se elimina wp-config.php. También puede provocar la cancelación de servicios y la pérdida de configuración de la instalación.
No se debe confundir el riesgo con una vulnerabilidad del propio lenguaje PHP; la exposición se encuentra en el plugin al gestionar las rutas de archivo de los formularios.
Estado de explotación conocida
No se indica explotación activa conocida en las fuentes consultadas. La selección de esta CVE por parte de ciberpone se base en su publicación reciente, su criticidad y su puntación automática, no en una información de ataque en curso.
El hecho de que no se haya publicado una explotación activa no reduce el riesgo: es una vulnerabilidad con CVSS 9.8 y una vía técnica descrita por la fuente, por lo que se recomienda actualizar o aplicar parches en cuanto el fabricante lo publique.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo de IOC se muestra vacío en los datos disponibles y no deben inventarse a la hora de investigar incidentes. Si se administra una infraestructura con SigmaForms Pro, hay que basarse en logs de formularios y análisis forense del panel de WordPress.
Cómo comprobar si estás afectado
Para saber si una instalación de WordPress está en riesgo por CVE-2026-78565, se debe revisar si el plugin SigmaForms Pro – AI Generated Forms está instalado y la versión concreta:
Accede al panel de administración de WordPress.
Ve a Plugins y busca la versión de SigmaForms Pro.
Comprueba si la versión instalada es igual a 1.4.11 o anterior.
Si está alguna versión anterior o igual a 1.4.11, la instalación está en el rango de riesgo descrito.
No se han proporcionado diferentes comandos o firmas automáticas en las fuentes consultadas para un comprobación técnica adicional.
Mitigación y actualización
El aviso oficial recomienda revisar la página de anuncios del fabricante y aplicar la actualización o parche que se publique. En el contexto de la CVE no se enumera una versión corregida final, por lo que hay que estar pendiente de las siguientes vías:
Anuncios de bdthemes: https://feedback.bdthemes.com/announcements
Ficha de Wordfence: https://www.wordfence.com/threat-intel/vulnerabilities/id/c714e2b3-8a96-4078-99a4-4ce620939828?source=cve
NVD: https://nvd.nist.gov/detail/CVE-2026-78657
Mientras el fabricante publica una versión corregida, se puede reducir la exposición desactivando temporalmente el plugin o restringiendo el acceso a los archivos de formularios desde el panel de administración. Esta acción debe hacerse solo si el negocio lo permite y siempre revisando las dependencias del plugin.
No es validado otras mitigaciones como filtrado de peticiones porque no aparecen en las fuentes disponibles.
Acción recomendada: Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Checklist para administradores
☐ Confirmar si el plugin SigmaForms Pro está instalado.
☐ Identificar la versión exacta de SigmaForms Pro en WordPress.
☐ Comprobar si la versión es 1.4.11 o anterior.
☐ Actualizar a la versión corregida si aparece disponible en los anuncios de bdthemes.
☐ Revisar los avisos de seguridad de Wordfence relativos a CVE-2026-78631.
☐ Si no hay parche, valorar la desactivación temporal del plugin.
☐ Auditar los registros de formularios y asegurar cualquier archivación almacenado.
☐ Restringir el acceso al panel de administración mientras se aplica la corrección.
Preguntas frecuentes
¿Qué es CVE-2026-78657?
Es una vulnerabilidad crítica CVE-2026-78657 publicada el 2 de septiembre de 2026. Su puntuación CVSS es 9.8 y permite borrar archivos arbitrarios en servidores que usan el producto SigmaForms Pro – AI Generated Forms dentro de WordPress.
¿Afecta a PHP?
Los datos de la fuente CVE.org y la descripción completa indican que el producto afectado es un plugin de WordPress desarrollado por bdthemes. Aunque los datos iniciales del agregador mencionen el lenguaje PHP, el aviso oficial habla de SigmaForms Pro.
¿Qué puede hacer un atacante?
Según la descripción, un atacante no autenticado puede introducir una URL reconocida en el campo de subida de formulario. Cuando el administrador elimiega el registro del formulario, el plugin elimina la ruta indicada. Si se destruyen archivos críticos como wp-config.php, puede producirse una ejecución remota de código.
¿Cómo puedo saber si mi WordPress está expuesto?
Debes comprobar la versión del plugin SigmaForms Pro; si está en 1.4.11 o anterior, el sitio está en el rango de versiones afectadas según CVE.org.
¿Existe una versión corregida disponible?
La fuente consultada no publica una versión corregida concreta. Se recomienda consultar el anuncio oficial de bdthemes y aplicar el parche o la mitigación publicada.
¿Hay indicadores de compromiso para realeap?
No hay indicadores de compromiso estructurados disponibles en la información publicada por NVD ni en las referencias consultadas. Está configuración no debe inventarse ni aplicarse automáticamente.
