CVE-2026-104028: RCE crítico en Anton Extensions

Qué es la vulnerabilidad

La CVE-2026-104028 es una vulnerabilidad de tipo subida de archivos sin restricciones (CWE-434: Unrestricted Upload of File with Dangerous Type) localizada en el plugin Anton Extensions para WordPress, en todas las versiones hasta la 1.2.2 inclusive.

El fallo reside en que el plugin no realiza ninguna de las siguientes comprobaciones antes de escribir contenido proporcionado por el atacante en una ruta elegida por este:

• Comprobación de capacidades (capability check): no verifica si el usuario que realiza la petición tiene permisos suficientes.
• Verificación de nonce: no valida tokens CSRF, lo que facilita la explotación mediante peticiones forjadas.
• Validación del tipo de archivo: no restringe la extensión ni el contenido del archivo subido.

Esta combinación de deficiencias permite que un atacante no autenticado pueda subir archivos PHP arbitrarios al servidor. Al poder controlar tanto el contenido como la ruta de destino, el atacante puede colocar un webshell en un directorio accesible públicamente y, posteriormente, ejecutarlo para lograr ejecución remota de código (RCE) en el servidor.

La puntuación CVSS de 9.8 refleja la gravedad del problema: el vector de ataque es remoto (AV:N), no requiere autenticación (PR:N), no precisa interacción del usuario (UI:N) y el impacto es total en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H). Esto significa que un atacante podría comprometer completamente el sitio WordPress y, potencialmente, el servidor subyacente.

La vulnerabilidad fue publicada el 11 de octubre de 2026 y ha sido referenciada en el repositorio de WPScan, que es la fuente principal de referencia para este aviso. No se ha publicado información oficial del fabricante en las fuentes consultadas.

Dado que el plugin afectado es de WordPress, cualquier sitio que tenga instalada una versión igual o inferior a la 1.2.2 debe considerarse en riesgo inmediato. La antigüedad de la publicación es de aproximadamente 24 horas, por lo que la ventana de exposición es crítica y se recomienda actuar con urgencia.

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin de WordPress Anton Extensions en todas sus versiones hasta la 1.2.2 inclusive. Según los datos publicados por CVE.org, el fabricante figura como Unknown y el producto afectado es Anton Extensions. No se han publicado versiones posteriores corregidas en las fuentes consultadas.

No se dispone de información sobre una versión parcheada o actualización publicada por el fabricante en las fuentes consultadas.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8, permite a un atacante no autenticado lograr la ejecución remota de código en el servidor. El vector CVSS asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica:

• Vector de ataque: Red (AV:N), explotable de forma remota.
• Complejidad de ataque: Baja (AC:L), sin condiciones especiales.
• Privilegios requeridos: Ninguno (PR:N).
• Interacción del usuario: Ninguna (UI:N).
• Impacto en confidencialidad, integridad y disponibilidad: Alto (C:H/I:H/A:H).

La causa raíz es una subida sin restricciones de archivos peligrosos (CWE-434). El plugin no realiza comprobación de capacidades, verificación de nonce ni validación del tipo de archivo antes de escribir contenido controlado por el atacante en una ruta también controlada por este. Esto permite subir archivos PHP arbitrarios y ejecutarlos en el servidor, comprometiendo completamente la confidencialidad, integridad y disponibilidad del sitio y sus datos.

Dado que se trata de un plugin de WordPress, el riesgo se extiende a cualquier sitio que lo tenga instalado, incluyendo la posible toma de control del sitio, uso del servidor para otros ataques o acceso a datos sensibles almacenados en la base de datos.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no confirman de forma explícita que exista una explotación activa en entornos reales. La referencia a WPScan incluida en el contexto está etiquetada como exploit, vdb-entry y technical-description, lo que sugiere que podría existir un exploit público o una prueba de concepto, pero no se dispone de detalles adicionales en los datos proporcionados. Se recomienda tratar esta vulnerabilidad como explotable y priorizar su mitigación.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores que no provengan de fuentes oficiales.

Cómo comprobar si estás afectado

Para determinar si tu entorno está afectado por la vulnerabilidad CVE-2026-104028, sigue estos pasos:

• Verifica la versión del plugin Anton Extensions instalado en tu sitio WordPress. La vulnerabilidad afecta versiones hasta 1.2.2.
• Consulta la documentación oficial del plugin o contacta al soporte técnico para confirmar si tu versión está incluida en el alcance de la vulnerabilidad.
• Revisa los registros de actividad del servidor y los archivos de logs de WordPress en busca de intentos de carga de archivos no autorizados o ejecuciones de código remoto.
• Utiliza herramientas de escaneo de vulnerabilidades como WPScan para detectar la presencia del plugin vulnerable en tu instalación.

La ausencia de información sobre actualizaciones corregidas en las fuentes consultadas indica que el fabricante no ha publicado una solución en este momento.

Mitigación y actualización

Según el aviso oficial del fabricante, no se ha publicado una versión corregida para esta vulnerabilidad. Las medidas inmediatas recomendadas incluyen:

• Desactivar o eliminar el plugin Anton Extensions si no es esencial para las operaciones del sitio.
• Revisar configuraciones de seguridad del servidor para restringir la carga de archivos PHP y validar tipos de archivo en las solicitudes de subida.
• Monitorear canales oficiales del plugin para actualizaciones de seguridad. Las fuentes consultadas no indican la disponibilidad de parches en este momento.
• Implementar reglas de firewall para bloquear patrones de ataque conocidos asociados a la explotación de vulnerabilidades de carga de archivos.

Es fundamental aplicar cualquier actualización publicada por el fabricante tan pronto como esté disponible, ya que la vulnerabilidad permite ejecución remota de código sin autenticación.

Checklist para administradores

• [ ] Verificar versión del plugin Anton Extensions
• [ ] Consultar fuentes oficiales para confirmación de afectación
• [ ] Desactivar plugin si no es crítico
• [ ] Revisar logs de servidor y WordPress
• [ ] Configurar validación de tipos de archivo en subidas
• [ ] Monitorear canales de actualización del plugin
• [ ] Aplicar parches o actualizaciones cuando estén disponibles

Preguntas frecuentes

¿Qué tipo de ataque permite esta vulnerabilidad?

La vulnerabilidad permite a atacantes no autenticados subir archivos PHP arbitrarios y ejecutar código remoto en el servidor. No se requiere credencial de usuario para explotarla.

¿El plugin Anton Extensions sigue siendo activo en el mercado?

Según las fuentes consultadas, no se proporciona información sobre la actualidad del plugin. Se recomienda revisar su página oficial o repositorio para confirmar su estado.

¿Hay una solución inmediata disponible?

No se ha publicado una solución corregida por el fabricante. Las medidas recomendadas incluyen desactivar el plugin y aplicar controles de seguridad adicionales.

¿Cómo puedo recibir notificaciones sobre actualizaciones?

Sigue los canales oficiales del plugin, como su sitio web, repositorio de WordPress o listas de correo técnico. Las fuentes consultadas no indican canales específicos para este caso.

¿Qué implica la puntuación CVSS de 9.8?

Una puntuación CVSS de 9.8 indica una vulnerabilidad de crítica gravedad, con acceso remoto sin autenticación, impacto completo en confidencialidad, integridad y disponibilidad.

¿Es posible que esta vulnerabilidad afecte otros plugins?

Según los datos disponibles, la vulnerabilidad está específicamente relacionada con Anton Extensions. No se mencionan impactos en otros plugins en las fuentes consultadas.