🚨 Se ha publicado la vulnerabilidad CVE-2026-14526, que afecta al plugin AI Copilot – Content Generator para WordPress. Con una puntuación CVSS de 9.8 (CRÍTICA), permite a atacantes no autenticados crear cuentas de administrador y comprometer completamente el sitio. Se recomienda aplicar la actualización o mitigación oficial de inmediato.
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-14526 |
| Fabricante | PHP Group |
| Producto | PHP |
| Fecha de publicación | 08 de agosto de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
¿Qué es la vulnerabilidad?
La vulnerabilidad CVE-2026-14526 es un fallo de omisión de autorización en el plugin AI Copilot – Content Generator para WordPress. Según la descripción oficial, en todas las versiones hasta la 1.5.6, el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite que atacantes no autenticados, mediante el envío de una petición maliciosa, creen una nueva cuenta de usuario con privilegios de administrador y tomen el control completo del sitio. La explotación es posible en cualquier sitio donde el shortcode [aiwu-form] o el chatbot público se renderice en una página frontal, ya que el valor waic-nonce se expone en el JavaScript accesible públicamente (WAIC_DATA.waicNonce), lo que hace que la comprobación del nonce sea ineficaz.
Productos y versiones vulnerables
| Producto | Versión afectada | Estado |
|---|---|---|
| AI Copilot – Content Generator (WordPress plugin) | 0 – 1.5.6 (incluida) | Vulnerable |
Impacto y riesgo
El impacto es crítico: un atacante no autenticado puede obtener privilegios de administrador, lo que conlleva la divulgación completa de datos, la modificación de contenido y la interrupción del servicio. Dado que la vulnerabilidad no requiere interacción del usuario ni privilegios previos, el riesgo de explotación masiva es alto.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE se basa en su criticidad (CVSS 9.8) y su publicación reciente, no en explotación activa confirmada.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas. No se han extraído IOC estructurados de las fuentes analizadas.
Cómo comprobar si estás afectado
- Verifica la versión instalada del plugin AI Copilot – Content Generator en el panel de administración de WordPress.
- Si la versión es igual o inferior a 1.5.6, el sitio está potencialmente afectado.
- Revisa si el shortcode
[aiwu-form]o el chatbot público se muestran en alguna página frontal. - Comprueba si el valor
waicNonceaparece en el código fuente JavaScript.
Mitigación y actualización
Se recomienda actualizar el plugin a la última versión disponible que solucione la vulnerabilidad. Si no hay un parche oficial, deshabilita temporalmente el plugin o elimina cualquier shortcode o función que exponga el nonce en el frontend.
Checklist para administradores
- ☐ Identificar la versión del plugin AI Copilot – Content Generator.
- ☐ Actualizar el plugin si la versión es ≤ 1.5.6.
- ☐ Eliminar el shortcode
[aiwu-form]de las páginas frontales si no es imprescindible. - ☐ Deshabilitar el chatbot público si está activo.
- ☐ Revisar la creación de cuentas de administrador no autorizadas en los últimos 30 días.
- ☐ Monitorizar el código JavaScript en busca del valor
waicNonce.
Preguntas frecuentes
¿Qué es CVE-2026-14526?
Es una vulnerabilidad de omisión de autorización en el plugin AI Copilot – Content Generator para WordPress que permite a atacantes no autenticados tomar el control del sitio.
¿Qué versiones están afectadas?
Todas las versiones del plugin hasta la 1.5.6 inclusive.
¿Se requiere autenticación para explotarla?
No, la vulnerabilidad es explotable por atacantes no autenticados.
¿Hay algún parche disponible?
Las fuentes consultadas no indican una versión parcheada específica. Se recomienda contactar con el fabricante o deshabilitar el plugin.
¿Cómo puedo saber si mi sitio ha sido comprometido?
Revisa las cuentas de usuario con rol de administrador en el panel de WordPress. Si aparecen cuentas desconocidas, es posible que se haya explotado la vulnerabilidad.
¿Esta vulnerabilidad está siendo explotada activamente?
No publicado por las fuentes consultadas. No hay confirmación de explotación activa.