🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-73343 que afecta al plugin WP Compress de AresIT. Permite a un atacante remoto no autenticado ejecutar código arbitrario en el servidor. La puntuación CVSS es 10 (crítico). Se recomienda aplicar la actualización a la versión 7.20.01 o superior de forma inmediata.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-73343 |
| Fabricante | AresIT |
| Producto | WP Compress |
| Fecha de publicación | 2026-08-18 |
| Severidad | CRÍTICA |
| CVSS | 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 240 |
| Acción recomendada | Actualizar WP Compress a la versión 7.20.01 o superior |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-73343 es un fallo de ejecución remota de código sin autenticar (RCE) en el plugin WP Compress de AresIT, utilizado para optimizar imágenes en WordPress. La debilidad se clasifica como CWE-94: Control inadecuado de la generación de código (‘Inyección de código’). Esto permite que un atacante remoto, sin necesidad de credenciales, envíe peticiones especialmente diseñadas que provoquen la ejecución de código arbitrario en el servidor donde está instalado el plugin.
El vector CVSS indica que la vulnerabilidad es explotable a través de la red, con baja complejidad, sin privilegios ni interacción del usuario, y el impacto es total sobre la confidencialidad, integridad y disponibilidad. Esto la convierte en una de las vulnerabilidades más graves posibles.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, el producto afectado es:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| WP Compress (de AresIT) | Todas las versiones anteriores a 7.20.01 | 7.20.01 y superiores |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de CVE-2026-73343 es crítico. Un atacante que explote esta vulnerabilidad puede:
- Ejecutar comandos arbitrarios en el servidor web.
- Acceder, modificar o eliminar archivos sensibles.
- Instalar malware, puertas traseras o ransomware.
- Comprometer toda la infraestructura del sitio WordPress.
Dado que no se requiere autenticación, cualquier sitio que tenga instalado WP Compress en una versión inferior a la 7.20.01 está en riesgo inminente. La puntuación de prioridad de 240 (sobre 300) indica que debe tratarse con máxima urgencia.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org) no mencionan explotación activa de esta vulnerabilidad. La selección de esta CVE por RyzerBot se basa en su reciente publicación y su puntuación CVSS de 10, no en evidencia de ataques en curso. No obstante, la gravedad del fallo hace probable que los atacantes intenten explotarlo rápidamente.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes oficiales consultadas. Por tanto, no se dispone de IOC para esta vulnerabilidad. Se recomienda monitorizar los registros del servidor en busca de patrones anómalos de peticiones a los archivos del plugin.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable:
- Accede al panel de administración de WordPress.
- Ve a Plugins y localiza WP Compress.
- Comprueba el número de versión. Si es inferior a 7.20.01, estás afectado.
- También puedes consultar el archivo
readme.txtdel plugin o la página de plugins de WordPress.
No se proporcionan comandos específicos ya que las fuentes no los incluyen.
Mitigación y actualización
La acción principal es actualizar el plugin WP Compress a la versión 7.20.01 o superior. Sigue estos pasos:
- Desde el panel de WordPress, ve a Plugins → Actualizaciones.
- Busca la actualización de WP Compress y haz clic en Actualizar ahora.
- Si no aparece, descarga la última versión desde el repositorio oficial de WordPress o desde el sitio del fabricante.
- Verifica que la versión instalada sea 7.20.01 o superior.
Como medida temporal, si no es posible actualizar de inmediato, se puede desactivar el plugin hasta que se aplique el parche. No se han publicado otras mitigaciones.
Checklist para administradores
- ☐ Identificar todos los sitios WordPress que usan WP Compress.
- ☐ Verificar la versión instalada de WP Compress en cada sitio.
- ☐ Actualizar WP Compress a la versión 7.20.01 o superior.
- ☐ Revisar los registros del servidor en busca de actividad sospechosa.
- ☐ Realizar un escaneo de seguridad completo en los sitios afectados.
- ☐ Mantener copias de seguridad actualizadas.
- ☐ Informar al equipo de seguridad y a los responsables del sitio.
Preguntas frecuentes
¿Qué es CVE-2026-73343?
Es una vulnerabilidad de ejecución remota de código sin autenticar en el plugin WP Compress para WordPress, con una puntuación CVSS de 10 (crítico).
¿Qué versiones de WP Compress están afectadas?
Todas las versiones anteriores a la 7.20.01 están afectadas.
¿Cómo puedo protegerme?
Actualizando el plugin a la versión 7.20.01 o superior. Si no es posible, desactiva el plugin temporalmente.
¿Se requiere autenticación para explotar la vulnerabilidad?
No, la vulnerabilidad puede ser explotada por un atacante remoto sin necesidad de credenciales.
¿Hay evidencia de explotación activa?
Las fuentes oficiales no reportan explotación activa hasta la fecha de publicación de este artículo.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación.