CVE-2026-96349: Vulnerabilidad crítica RCE en SiteSkite

Qué es la vulnerabilidad

La CVE-2026-96349 es una vulnerabilidad de ejecución remota de código (RCE) no autenticada que reside en el plugin SiteSkite para WordPress. Esta falla se clasifica como CWE-94: Control inadecuado de generación de código (‘Code Injection’), lo que significa que la aplicación no neutraliza correctamente las entradas del usuario antes de pasarlas a un mecanismo de evaluación de código.

Un atacante puede explotar esta vulnerabilidad enviando solicitudes HTTP especialmente diseñadas al sitio afectado, sin necesidad de autenticación previa. Al hacerlo, puede inyectar y ejecutar código arbitrario en el contexto del servidor web, lo que le otorga control total sobre la aplicación y potencialmente sobre el servidor que la aloja. Dado que la puntuación CVSS es la máxima posible (10.0), la explotación es trivial y el impacto es total en los tres dominios de seguridad: confidencialidad, integridad y disponibilidad.

La causa raíz del problema radica en la falta de saneamiento de las entradas del usuario en una de las funciones del plugin, lo que permite que un actor malintencionado inyecte código malicioso que se ejecutará en el servidor. Esta vulnerabilidad afecta a todas las versiones del plugin SiteSkite hasta la 2.1.8 inclusive.

Dado que el vector de ataque es de red (AV:N), no requiere interacción del usuario (UI:N) ni privilegios previos (PR:N), y el impacto se extiende más allá del componente vulnerable (S:C), esta vulnerabilidad debe considerarse como una amenaza inminente para cualquier sitio que utilice el plugin afectado.

La referencia oficial de Patchstack proporciona detalles adicionales sobre la vulnerabilidad y las actualizaciones disponibles, y se recomienda consultarla para obtener información técnica más detallada.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-96349 afecta al plugin SiteSkite para WordPress. Según los datos publicados por CVE.org y NVD, la versión afectada es:

La descripción oficial indica que la vulnerabilidad está presente en versiones SiteSkite <= 2.1.8. No se han publicado versiones anteriores o posteriores adicionales en las fuentes consultadas. Se recomienda encarecidamente a los administradores que verifiquen la versión instalada en sus sitios y consulten el aviso oficial del fabricante para conocer la disponibilidad de una actualización o mitigación.

Impacto y riesgo

La vulnerabilidad CVE-2026-96349 ha recibido una puntuación CVSS de 10.0 (CRITICAL) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Esto implica un riesgo máximo con las siguientes características:

• Vector de ataque: Red (AV:N) – explotable de forma remota sin necesidad de acceso físico.
• Complejidad del ataque: Baja (AC:L) – no se requieren condiciones especiales para su explotación.
• Privilegios necesarios: Ninguno (PR:N) – un atacante no autenticado puede explotarla.
• Interacción del usuario: Ninguna (UI:N) – no se requiere interacción de víctimas.
• Impacto en la confidencialidad, integridad y disponibilidad: Alto (C:H/I:H/A:H) – compromiso total de los tres pilares de la seguridad.
• Alcance: Cambiado (S:C) – el impacto puede trascender el componente vulnerable.

La vulnerabilidad está clasificada como CWE-94: Control inadecuado de generación de código (Inyección de código). Esto indica que un atacante podría inyectar y ejecutar código arbitrario en el servidor, lo que podría llevar a un compromiso total del sitio web, robo de datos, instalación de puertas traseras o uso del servidor para ataques posteriores. Dado que la explotación no requiere autenticación, el riesgo para sitios que ejecutan versiones afectadas es extremadamente alto.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no proporcionan información explícita sobre la existencia de exploits públicos o ataques activos en el momento de la publicación. La ficha de la vulnerabilidad no incluye referencias a exploits, pruebas de concepto o informes de explotación activa. Por lo tanto, no se puede confirmar si la vulnerabilidad está siendo explotada activamente. Sin embargo, dado el alto puntaje CVSS y la naturaleza de la vulnerabilidad (RCE sin autenticación), se recomienda asumir un riesgo elevado y aplicar las mitigaciones disponibles de inmediato.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío, por lo que no se dispone de direcciones IP, dominios, hashes de archivos u otros indicadores específicos asociados a esta vulnerabilidad. No deben inventarse indicadores. Se recomienda monitorizar los registros del servidor en busca de patrones de tráfico anómalos o solicitudes inusuales dirigidas al plugin SiteSkite, así como revisar la integridad de los archivos del sitio en busca de modificaciones no autorizadas.

Cómo comprobar si estás afectado

Para determinar si tu instalación de SiteSkite es vulnerable a la ejecución remota de código sin autenticación (CVE-2026-96349), debes verificar la versión exacta del plugin instalado. La vulnerabilidad afecta a todas las versiones menores o iguales a la 2.1.8.

Te recomendamos seguir estos pasos para realizar la comprobación:

1. Accede al panel de administración de WordPress de tu sitio web.
2. Navega hasta el apartado «Plugins» → «Plugins instalados».
3. Localiza el plugin SiteSkite en la lista.
4. Comprueba el número de versión que se muestra en la columna «Versión» o en la ficha del propio plugin.
5. Si la versión es 2.1.8 o anterior, tu sitio está potencialmente afectado por esta vulnerabilidad crítica.

Si no puedes acceder al panel de administración o prefieres una verificación más técnica, puedes revisar el archivo readme.txt del plugin mediante FTP o el administrador de archivos de tu hosting. La versión suele indicarse en la cabecera de dicho archivo.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse ni utilizarse listas de comprobación no oficiales.

Mitigación y actualización

Dado que la vulnerabilidad permite la ejecución remota de código sin autenticación y con una puntuación CVSS de 10.0 (crítica), se recomienda actuar con carácter urgente. Sin embargo, en el momento de la publicación de este análisis, no se ha publicado información oficial sobre una versión corregida o un parche específico por parte del fabricante.

Mientras se espera una actualización oficial, se deben considerar las siguientes medidas de mitigación temporal:

• Deshabilitar el plugin SiteSkite si no es imprescindible para el funcionamiento del sitio. Esta acción elimina la superficie de ataque expuesta.
• Restringir el acceso al plugin mediante reglas de firewall de aplicación web (WAF) o listas de control de acceso (ACL) a nivel de servidor, si es posible.
• Monitorizar los registros del servidor en busca de patrones de tráfico anómalos o intentos de explotación relacionados con el plugin.
• Revisar periódicamente el aviso oficial del fabricante y la referencia de Patchstack para obtener actualizaciones sobre parches o instrucciones de mitigación adicionales.

Es fundamental no aplicar parches no oficiales ni soluciones de terceros sin verificar su procedencia, ya que podrían comprometer aún más la seguridad del sitio.

Checklist para administradores

Utiliza esta lista para asegurarte de que has cubierto todos los aspectos necesarios ante esta vulnerabilidad crítica:

• ☐ He identificado la versión exacta del plugin SiteSkite instalado en mi sitio.
• ☐ He confirmado si mi versión es igual o anterior a la 2.1.8 (afectada).
• ☐ He revisado el aviso oficial del fabricante y la referencia de Patchstack.
• ☐ He evaluado si el plugin es imprescindible para el funcionamiento del sitio.
• ☐ He considerado deshabilitar el plugin como medida temporal si no es esencial.
• ☐ He implementado reglas de firewall o restricciones de acceso si es posible.
• ☐ He activado la monitorización de registros para detectar actividad sospechosa.
• ☐ He establecido un recordatorio para revisar periódicamente las actualizaciones disponibles.
• ☐ He documentado las acciones tomadas y las fechas para referencia futura.

Preguntas frecuentes

¿Qué es CVE-2026-96349?

Es una vulnerabilidad crítica de ejecución remota de código (RCE) sin autenticación que afecta al plugin SiteSkite en versiones menores o iguales a la 2.1.8. Un atacante remoto podría explotarla para ejecutar código arbitrario en el servidor.

¿Qué versión de SiteSkite está afectada?

Todas las versiones del plugin SiteSkite menores o iguales a la 2.1.8 están afectadas. No se ha publicado información sobre una versión corregida en el momento de la redacción.

¿Cómo puedo saber si mi sitio ha sido comprometido?

No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Se recomienda revisar los registros del servidor en busca de actividad inusual, archivos modificados recientemente o cuentas de usuario desconocidas.

¿Existe algún parche disponible?

En el momento de la publicación, no se ha publicado un parche oficial para esta vulnerabilidad. Se recomienda estar atento a las actualizaciones del fabricante y a la referencia de Patchstack.

¿Debo deshabilitar el plugin aunque lo necesite?

Si el plugin no es esencial para el funcionamiento crítico del sitio, se recomienda deshabilitarlo temporalmente hasta que se publique una solución. Si es imprescindible, se deben implementar medidas de mitigación adicionales como restricciones de acceso y monitorización intensiva.

¿Qué es CWE-94?

Es la clasificación de debilidad de seguridad que indica un «Control inadecuado de generación de código (Inyección de código)». Esta vulnerabilidad se ha clasificado bajo esta categoría, lo que significa que el software no neutraliza correctamente la entrada del usuario antes de utilizarla en operaciones de generación de código.