Alerta crítica de seguridad: Se ha publicado la CVE-2026-108587, una vulnerabilidad de subida de archivos arbitrarios en el plugin 10Web Booster – Website speed optimization, Cache & Page Speed optimizer para WordPress, que afecta a todas las versiones hasta la 2.34.10 inclusive. La explotación exitosa permite a un atacante no autenticado ejecutar código remoto en el servidor, comprometiendo completamente la confidencialidad, integridad y disponibilidad del sitio. Se recomienda aplicar la actualización o mitigación publicada por el fabricante de manera inmediata.
Resumen ejecutivo
| Identificador | CVE-2026-108587 |
|---|---|
| Fabricante | 10web |
| Producto | 10Web Booster – Website speed optimization, Cache & Page Speed optimizer |
| Fecha de publicación | 15 de octubre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-108587 es una vulnerabilidad de tipo subida de archivos arbitrarios (CWE-434: Unrestricted Upload of File with Dangerous Type) que afecta al plugin 10Web Booster – Website speed optimization, Cache & Page Speed optimizer en todas sus versiones hasta la 2.34.10 inclusive. Este plugin está diseñado para optimizar la velocidad de sitios WordPress mediante funciones de caché y compresión de imágenes.
El fallo se localiza en la función compressCustom, que procesa el parámetro page_id sin realizar una validación adecuada del tipo de archivo ni un filtrado de extensiones. Esta deficiencia permite a un atacante subir archivos que pueden ser ejecutables en el servidor, lo que posibilita la ejecución remota de código.
La cadena de explotación se completa gracias a una segunda debilidad: el nonce REST del plugin (tenwebio_rest) se serializa automáticamente en un archivo legible por cualquier usuario bajo el directorio wp-content/uploads/ cada vez que un lote de optimización masiva se pausa. Dado que este nonce se genera en un contexto de cron/loopback con un ID de usuario 0, resulta válido para visitantes no autenticados, lo que permite eludir los controles de autenticación.
En conjunto, estas vulnerabilidades encadenadas permiten que un atacante remoto sin credenciales pueda subir archivos maliciosos y ejecutarlos en el servidor, comprometiendo la seguridad del sitio web y, potencialmente, del servidor en su totalidad.
La puntuación CVSS de 9.8 refleja la gravedad del problema: el vector de ataque es remoto, no requiere privilegios ni interacción del usuario, y el impacto afecta por igual a la confidencialidad, integridad y disponibilidad del sistema.
La vulnerabilidad fue publicada el 15 de octubre de 2026 y seleccionada por su criticidad, relevancia y puntuación RyzerBot. No se ha confirmado su uso en campañas de ransomware, pero el potencial de ejecución remota de código la convierte en un objetivo prioritario para los atacantes.
Es importante señalar que el fabricante, 10web, ya ha publicado un changeset (revisión 3743299) que aborda el problema, por lo que se recomienda encarecidamente actualizar el plugin a una versión posterior a la 2.34.10 o aplicar las mitigaciones indicadas en el aviso oficial.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-108587 afecta al plugin de WordPress 10Web Booster – Website speed optimization, Cache & Page Speed optimizer, desarrollado por 10web. Según la información publicada por CVE.org y NVD, todas las versiones del plugin hasta la 2.34.10 inclusive se consideran afectadas.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| 10Web Booster – Website speed optimization, Cache & Page Speed optimizer | 10web | Todas las versiones hasta 2.34.10 (incluida) | No publicada por las fuentes consultadas |
Las fuentes consultadas no especifican una versión concreta en la que se haya corregido el fallo. Se recomienda encarecidamente revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada en cuanto esté disponible.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). La métrica refleja un riesgo extremadamente alto: el atacante no necesita credenciales (PR:N) ni interacción del usuario (UI:N), y la explotación puede llevarse a cabo remotamente a través de la red (AV:N).
El fallo se origina en la función compressCustom, que permite la subida arbitraria de archivos (CWE-434: Unrestricted Upload of File with Dangerous Type). La causa es una doble deficiencia:
- Validación insuficiente del tipo de archivo y filtrado de extensiones en el parámetro
page_id. - Fuga de un nonce REST (
tenwebio_rest) que se serializa en un archivo legible por cualquier usuario bajowp-content/uploads/cuando un lote de optimización en bloque se pausa. Este nonce se genera en un contexto cron/loopback con ID de usuario 0, por lo que es válido para visitantes no autenticados.
La combinación de ambos fallos permite a un atacante no autenticado subir archivos potencialmente ejecutables, lo que puede derivar en ejecución remota de código en el servidor. El impacto potencial es total: compromiso de la confidencialidad, integridad y disponibilidad del sitio y, posiblemente, del servidor que lo aloja.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) describen la cadena de explotación de la vulnerabilidad, pero no publican información explícita sobre la existencia de exploits públicos o ataques activos en curso. La descripción técnica detalla cómo un atacante podría encadenar la fuga del nonce con la subida de archivos para lograr ejecución remota de código, pero no se confirma que esta técnica haya sido utilizada en campañas reales.
Dada la criticidad (CVSS 9.8) y la facilidad de explotación, se recomienda asumir un escenario de riesgo alto y aplicar las medidas de mitigación de forma inmediata.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. En consecuencia, no se publican IOC en este análisis para evitar incluir datos no verificados o inventados.
Se recomienda monitorizar los directorios de subida de archivos del plugin (wp-content/uploads/) en busca de archivos inusuales o con extensiones ejecutables, así como revisar los registros de acceso al endpoint REST del plugin en busca de peticiones anómalas.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-108587, debes verificar la versión del plugin 10Web Booster – Website speed optimization, Cache & Page Speed optimizer que tienes activa. Según los datos publicados por NVD y CVE.org, todas las versiones hasta la 2.34.10 inclusive están afectadas.
El método más fiable es revisar la versión instalada directamente desde el panel de administración de WordPress:
- Accede a Panel de administración → Plugins.
- Localiza 10Web Booster en la lista y comprueba el número de versión que se muestra.
- Si la versión es igual o inferior a 2.34.10, la instalación es vulnerable.
También puedes consultar la página oficial del plugin en el repositorio de WordPress.org, donde se indica la versión más reciente publicada por el fabricante. Si tu versión es anterior a esa, deberías considerar la actualización como una acción prioritaria.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que no es posible ofrecer una lista de comprobación técnica basada en evidencias de actividad maliciosa. La revisión de la versión es, por tanto, el paso inicial y más fiable para conocer el estado de exposición.
Mitigación y actualización
La acción recomendada por las fuentes es clara: revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Sin embargo, en el momento de la publicación de este análisis, no se ha publicado una versión corregida en las referencias consultadas. El changeset 3743299 en el repositorio de WordPress.org aparece en las referencias, pero no se especifica si corresponde a un parche definitivo o a una corrección parcial.
Mientras tanto, y dado que la vulnerabilidad permite a un atacante no autenticado subir archivos potencialmente ejecutables, se recomienda aplicar las siguientes medidas de contención:
- Desactivar el plugin si no es imprescindible para el funcionamiento del sitio. Esta es la medida más efectiva para eliminar la superficie de ataque.
- Restringir el acceso a los endpoints REST del plugin mediante reglas de firewall de aplicación web (WAF) o listas de control de acceso a nivel de servidor.
- Monitorizar el directorio
wp-content/uploads/en busca de archivos inusuales o con extensiones ejecutables (PHP, PHP5, PHTML, etc.) que no hayan sido subidos por usuarios legítimos. - Revisar los registros de acceso del servidor para detectar peticiones anómalas dirigidas a los endpoints REST del plugin.
Es importante subrayar que estas medidas son temporales y no sustituyen a la aplicación del parche oficial cuando esté disponible. Se recomienda encarecidamente seguir el aviso del fabricante y de Wordfence para estar al tanto de la publicación de una versión corregida.
Checklist para administradores
- ☐ He identificado la versión exacta de 10Web Booster instalada en mi sitio.
- ☐ He confirmado si mi versión está dentro del rango afectado (≤ 2.34.10).
- ☐ He revisado el aviso oficial del fabricante y las referencias de Wordfence.
- ☐ He desactivado el plugin o restringido su acceso si no es imprescindible.
- ☐ He configurado reglas de firewall para bloquear peticiones no autenticadas a los endpoints REST del plugin.
- ☐ He revisado el directorio
wp-content/uploads/en busca de archivos sospechosos. - ☐ He monitorizado los registros del servidor en busca de actividad anómala relacionada con el plugin.
- ☐ He establecido un plan para aplicar la actualización oficial en cuanto esté disponible.
Preguntas frecuentes
¿Qué puede hacer un atacante si explota esta vulnerabilidad?
Según la descripción de la CVE, un atacante no autenticado podría subir archivos arbitrarios al servidor. Si esos archivos son ejecutables, podría lograr ejecución remota de código, comprometiendo la confidencialidad, integridad y disponibilidad del sitio.
¿Cómo se obtiene el nonce que permite la explotación?
El nonce tenwebio_rest se genera en un contexto de cron/loopback con un ID de usuario 0 y se serializa automáticamente en un archivo legible por cualquier visitante bajo wp-content/uploads/ cuando un lote de optimización en masa se pausa. Esto permite a un atacante obtenerlo sin autenticación.
¿Estoy afectado si tengo la versión 2.34.10?
Sí. Según los datos publicados, todas las versiones hasta la 2.34.10 inclusive están afectadas. Si tienes una versión anterior, también estás en riesgo.
¿Existe algún parche disponible en este momento?
No se ha publicado una versión corregida en las fuentes consultadas. Se recomienda estar atento al aviso del fabricante y a las actualizaciones del plugin en el repositorio de WordPress.org.
¿Debo desactivar el plugin aunque lo necesite para el rendimiento?
La desactivación es la medida más segura mientras no exista parche. Si el plugin es crítico para el sitio, aplica medidas compensatorias como restricciones de firewall y monitorización intensiva del directorio de subidas.
¿Esta vulnerabilidad afecta a otros productos de 10Web?
Las fuentes consultadas solo mencionan el producto 10Web Booster – Website speed optimization, Cache & Page Speed optimizer como afectado. No se ha publicado información sobre otros productos del mismo fabricante.
Fuentes oficiales
Para obtener información actualizada y detallada sobre esta vulnerabilidad, consulta las siguientes referencias: