Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-82923 |
| Fabricante | PHP Group |
| Producto | PHP (plugin AI Website Builder) |
| Fecha de publicación | 2026-09-04 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin AI Website Builder (GitHub build) versión 1.0.0 para WordPress no valida la autorización ni comprueba nonces en sus endpoints REST. Esto permite a cualquier usuario sin autenticación:
- Instalar y activar plugins y temas arbitrarios.
- Importar contenido desde una URL controlada por el atacante.
- Escribir un archivo de su elección en el directorio
uploads. - Eliminar contenido y medios del sitio.
Si el servidor web está configurado para ejecutar PHP desde el directorio de subidas, la escritura de archivos se convierte en ejecución remota de código (RCE).
Productos y versiones vulnerables
| Producto | Versión | Estado |
|---|---|---|
| AI Website Builder (GitHub build) | 1.0.0 | Afectado |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad tiene una puntuación CVSS 9.8 (crítica) con vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Los impactos son:
- Confidencialidad: Alta – acceso a datos del sitio y posible exfiltración.
- Integridad: Alta – modificación de archivos, instalación de código malicioso.
- Disponibilidad: Alta – eliminación de contenido y posible denegación de servicio.
La facilidad de explotación (red, baja complejidad, sin privilegios, sin interacción de usuario) eleva el riesgo para cualquier instalación expuesta a Internet.
Estado de explotación conocida
⚠️ No se ha reportado explotación activa en las fuentes oficiales consultadas (NVD, CVE.org, WPScan). La selección del bot se basa en la publicación reciente y la puntuación CVSS ≥ 9.0, no en evidencia de explotación en la naturaleza.
Indicadores de compromiso (IOC)
🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Verifica si tu sitio WordPress tiene instalado el plugin AI Website Builder proveniente de la compilación de GitHub.
- Comprueba la versión del plugin en el panel de administración (Plugins → AI Website Builder). Si muestra
1.0.0, estás expuesto. - Revisa los logs del servidor web en busca de peticiones POST a endpoints REST del plugin (p. ej.
/wp-json/aiwb/v1/...) desde IPs desconocidas. - Inspecciona el directorio
wp-content/uploadsen busca de archivos PHP o scripts no reconocidos.
No se proporcionan comandos específicos, ya que las fuentes no los detallan.
Mitigación y actualización
- Actualizar: Busca una versión posterior a 1.0.0 publicada por el mantenedor del plugin en GitHub o en el repositorio oficial de WordPress y aplícala de inmediato.
- Desactivar/eliminar: Si no existe actualización, desactiva y elimina el plugin hasta que se publique un parche.
- Restringir ejecución PHP en uploads: Configura el servidor (Apache/Nginx) para no ejecutar scripts PHP dentro de
wp-content/uploads(ej.php_flag engine offen .htaccess olocation ~ \.php$ { deny all; }en Nginx). - Reglas de firewall/WAF: Bloquea peticiones no autenticadas a las rutas REST del plugin si no son necesarias.
- Monitoreo: Implementa alertas de integridad de archivos (FIM) en el directorio de subidas.
Checklist para administradores
- ☐ Confirmar presencia del plugin AI Website Builder 1.0.0.
- ☐ Verificar disponibilidad de actualización oficial.
- ☐ Aplicar actualización o desactivar/eliminar el plugin.
- ☐ Deshabilitar ejecución de PHP en
wp-content/uploads. - ☐ Revisar logs de acceso a endpoints REST del plugin.
- ☐ Ejecutar escaneo de integridad en el directorio de subidas.
- ☐ Actualizar reglas de WAF/firewall para bloquear accesos no autorizados a la API del plugin.
- ☐ Documentar acciones y comunicar al equipo de seguridad.
Preguntas frecuentes
- ¿Qué CVE se trata?
- CVE-2026-82923, una vulnerabilidad crítica de autorización faltante en AI Website Builder 1.0.0.
- ¿Mi sitio está en riesgo si no uso este plugin?
- No. La vulnerabilidad afecta únicamente a instalaciones que tengan el plugin AI Website Builder (GitHub build) versión 1.0.0 activo.
- ¿Existe exploit público?
- Las fuentes consultadas (NVD, CVE.org, WPScan) no indican la existencia de un exploit público ni explotación activa.
- ¿Cómo puedo proteger el directorio uploads?
- Configura el servidor web para denegar la ejecución de PHP en
wp-content/uploadsmediante .htaccess (Apache) o directivas location (Nginx). - ¿Dónde encuentro la actualización oficial?
- Revisa el repositorio de GitHub del proyecto o la página del plugin en WordPress.org para descargar la versión corregida.
- ¿Qué debo hacer si ya fui comprometido?
- Restaura desde una copia de seguridad limpia, elimina archivos maliciosos en uploads, cambia todas las contraseñas y claves de API, y aplica las mitigaciones descritas.