CVE-2026-18855: Vulnerabilidad crítica en Link Library para WordPress

🚨 Alerta de seguridad crítica: Se ha publicado la vulnerabilidad CVE-2026-18855 que afecta al plugin Link Library para WordPress en versiones hasta la 7.9.4 inclusive. Esta vulnerabilidad permite a atacantes no autenticados eliminar archivos arbitrarios del servidor, lo que puede derivar en ejecución remota de código (RCE). Se recomienda actualizar de inmediato a la versión 7.9.5 o superior.

Cadena de riesgo y respuesta para CVE-2026-18855

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-18855
Fabricante	PHP Group (propietario del plugin: jackdewey)
Producto	Link Library para WordPress
Fecha de publicación	15 de agosto de 2026
Severidad	CRÍTICA
CVSS v3.1	9.1
Vector CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Puntuación de prioridad	235
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-18855 es una falla de seguridad grave en el plugin Link Library para WordPress, desarrollado por jackdewey. Se trata de una debilidad en la validación de rutas de archivos (CWE-22: Path Traversal) presente en la función ll_delete_link_fields. Esto permite que atacantes no autenticados, sin necesidad de credenciales, puedan eliminar archivos arbitrarios del servidor.

En concreto, el plugin incluye una opción (deshabilitada por defecto) llamada «Delete local file on link deletion» que, al ser activada por un administrador, elimina el archivo correspondiente cuando se borra un enlace de forma permanente. Debido a la insuficiente validación de la ruta del archivo, un atacante puede enviar un enlace malicioso que, al ser eliminado por el administrador (una acción rutinaria de moderación), borre cualquier archivo del servidor, como wp-config.php. La eliminación de este archivo puede llevar a la ejecución remota de código (RCE).

Productos y versiones vulnerables

Producto	Versiones afectadas	Versión corregida
Link Library para WordPress	Todas las versiones hasta la 7.9.4 inclusive	7.9.5

Impacto y riesgo

El impacto de esta vulnerabilidad es CRÍTICO (CVSS 9.1). Al explotarla, un atacante puede:

Eliminar archivos críticos del servidor, como wp-config.php.
Provocar una denegación de servicio (pérdida de configuración).
Potencialmente ejecutar código remoto (RCE) si se elimina el archivo adecuado.

El vector CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H) indica que el ataque se realiza a través de la red, no requiere autenticación, no requiere interacción del usuario y afecta la integridad y disponibilidad de forma alta, aunque la confidencialidad no se ve afectada directamente.

Estado de explotación conocida

No publicado por las fuentes consultadas. La vulnerabilidad ha sido seleccionada por su reciente publicación y su puntuación CVSS superior a 9.0, no por evidencia de explotación activa. No se dispone de información que confirme la existencia de exploits públicos o ataques en curso.

Indicadores de compromiso (IOC)

No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Para determinar si tu sitio es vulnerable:

Accede al panel de administración de WordPress.
Ve a Plugins y localiza Link Library.
Comprueba la versión instalada. Si es igual o inferior a 7.9.4, estás afectado.
Además, ve a Configuración → Link Library y verifica si la opción «Delete local file on link deletion» está activada (recuerda que la explotación requiere que esté habilitada).

Mitigación y actualización

La acción principal es actualizar el plugin a la versión 7.9.5 o superior tan pronto como sea posible. El parche ha sido publicado por el desarrollador y está disponible en el repositorio oficial de WordPress.

Además, como medida de seguridad adicional:

Deshabilita la opción «Delete local file on link deletion» si no es estrictamente necesaria.
Revisa los registros del servidor en busca de actividad inusual de eliminación de archivos.
Aplica el principio de menor privilegio en los permisos de archivos del servidor.

Checklist para administradores

☐ Verificar la versión de Link Library (actualizar si ≤ 7.9.4).
☐ Deshabilitar la opción «Delete local file on link deletion» salvo uso imprescindible.
☐ Revisar los registros de acceso y errores del servidor web.
☐ Confirmar que no se han eliminado archivos críticos como wp-config.php.
☐ Realizar una copia de seguridad completa del sitio y la base de datos.
☐ Mantener el resto de plugins y el núcleo de WordPress actualizados.

Preguntas frecuentes

1. ¿Qué versión de Link Library corrige esta vulnerabilidad?

La versión 7.9.5 incluye la corrección de seguridad.

2. ¿Es necesario tener la opción «Delete local file on link deletion» activada para ser vulnerable?

Sí. La explotación requiere que el administrador haya habilitado esa opción (deshabilitada por defecto) y que posteriormente elimine un enlace enviado por el atacante.

3. ¿Puede un atacante explotar esta vulnerabilidad sin autenticación?

Sí. El atacante no necesita estar autenticado; puede enviar un enlace malicioso a través del formulario de envío de enlaces del plugin.

4. ¿Esta vulnerabilidad afecta a mi instalación de WordPress aunque no tenga el plugin activo?

No. Solo los sitios que tengan el plugin Link Library instalado y activo están expuestos.

5. ¿Existe algún exploit público conocido?

No publicado por las fuentes consultadas. No se tiene constancia de exploits públicos en el momento de la publicación de este análisis.

6. ¿Qué hago si ya he sido víctima de un ataque?

Contacta con tu equipo de seguridad, revisa los archivos del servidor en busca de modificaciones, restaura desde una copia de seguridad anterior y cambia todas las credenciales.