Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-62104 que afecta al plugin de WordPress Migratico Lite en versiones 2.6.8 y anteriores. Esta falla permite la ejecución remota de código sin autenticación, lo que podría comprometer completamente el sitio web y el servidor.
La puntuación CVSS es de 10.0 (Crítica) y el fabricante ya ha sido notificado. Se recomienda encarecidamente a los administradores revisar el aviso oficial y aplicar la actualización o mitigación publicada de inmediato.
Resumen ejecutivo
| CVE | CVE-2026-62104 |
|---|---|
| Fabricante | superweby |
| Producto | Migratico Lite |
| Publicación | 17 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) |
| Prioridad | 240 (según puntuación RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-62104 es una vulnerabilidad de ejecución remota de código (RCE) sin autenticación en el plugin de WordPress Migratico Lite, desarrollado por superweby. La falla está clasificada bajo la categoría CWE-94: Control inadecuado de generación de código (Inyección de código).
La descripción técnica proporcionada por NVD y CVE.org es concisa pero crítica: «Unauthenticated Remote Code Execution (RCE) in Migratico Lite <= 2.6.8 versions». Esto significa que un atacante remoto, sin necesidad de credenciales, podría explotar esta vulnerabilidad para inyectar y ejecutar código arbitrario en el servidor donde está alojado el sitio web.
El vector CVSS asociado (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) confirma la gravedad del problema:
- AV:N (Red): La vulnerabilidad es explotable de forma remota a través de la red.
- AC:L (Complejidad de ataque baja): No se requieren condiciones especiales para explotarla.
- PR:N (Sin privilegios): No se necesita autenticación previa.
- UI:N (Sin interacción del usuario): No requiere que un usuario realice ninguna acción.
- S:C (Alcance cambiado): El impacto puede trascender el componente vulnerable, afectando a recursos más allá del plugin.
- C:H/I:H/A:H (Impacto alto en confidencialidad, integridad y disponibilidad): Un atacante podría leer, modificar o eliminar datos, así como tomar control total del sistema.
La puntuación de explotabilidad es de 3.9 y el impacto de 6.0, lo que subraya la facilidad de explotación y el daño potencial. Dado que se trata de un plugin de WordPress, el alcance de la vulnerabilidad podría extenderse a toda la instalación del CMS y al servidor subyacente, comprometiendo la seguridad de otros sitios o aplicaciones alojados en el mismo entorno.
La vulnerabilidad fue publicada el 17 de septiembre de 2026 y la referencia principal apunta a la base de datos de Patchstack, un conocido proveedor de inteligencia de vulnerabilidades para WordPress. La antigüedad de la vulnerabilidad en el momento de la alerta era de aproximadamente 13.7 horas, lo que indica que se trata de un aviso muy reciente y que los administradores deben actuar con rapidez.
Es importante señalar que, aunque la clasificación inicial del recolector la cataloga como crítica, la información canónica de CVE.org y NVD confirma que el fabricante es superweby y el producto Migratico Lite. No se han publicado más detalles técnicos sobre el vector de ataque específico en las fuentes consultadas.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-62104 afecta al plugin Migratico Lite desarrollado por superweby para WordPress. Según los datos publicados por CVE.org y NVD, las versiones afectadas son todas aquellas iguales o anteriores a la 2.6.8.
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| Migratico Lite | superweby | <= 2.6.8 | Afectado |
No se han publicado versiones específicas adicionales en las fuentes consultadas. Se recomienda encarecidamente a los administradores que verifiquen la versión instalada de su plugin y consulten el aviso oficial del fabricante para determinar si su instalación está expuesta.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada con una severidad CRÍTICA y una puntuación CVSS v3.1 de 10.0, el valor máximo posible. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, lo que indica:
- Acceso de red sin autenticación: un atacante remoto no necesita credenciales ni interacción del usuario para explotar la falla.
- Complejidad de ataque baja: no se requieren condiciones especiales ni conocimiento previo del entorno.
- Impacto total en confidencialidad, integridad y disponibilidad: el atacante podría leer, modificar o eliminar datos del sitio, así como interrumpir su funcionamiento.
- Alcance cambiado (Scope: Changed): el impacto puede trascender el componente vulnerable y afectar a otros recursos del servidor o de la infraestructura.
La debilidad subyacente se corresponde con CWE-94 (Control inadecuado de generación de código, también conocida como inyección de código). Esto implica que un atacante podría ejecutar código arbitrario en el servidor, lo que en la práctica se traduce en un compromiso total del sitio WordPress y, potencialmente, del servidor que lo aloja.
Dado que la explotación no requiere autenticación y el plugin está diseñado para tareas de migración, el riesgo se considera extremadamente alto para cualquier sitio que tenga instalada una versión afectada. La puntuación de prioridad asignada por RyzerBot es de 240, lo que refleja la urgencia de aplicar medidas correctivas.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en el momento de la recopilación de datos. No se debe asumir que la falla ha sido explotada en entornos reales, pero tampoco se puede descartar. La ausencia de esta información no reduce la criticidad del hallazgo, y se recomienda tratar la vulnerabilidad como explotable de forma inminente debido a la facilidad de acceso que permite el vector CVSS.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas para esta CVE. El campo enrichment.ioc se encuentra vacío. Por tanto, no se dispone de IOC publicados que puedan utilizarse para detectar actividad maliciosa relacionada con esta vulnerabilidad. No deben inventarse ni inferirse indicadores que no estén respaldados por las fuentes oficiales.
Se recomienda a los administradores monitorizar los registros del servidor y del sitio web en busca de patrones anómalos de acceso o ejecución de código, así como revisar la integridad de los archivos del plugin y del núcleo de WordPress.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a esta ejecución remota de código, debes verificar la versión exacta del plugin Migratico Lite activo en tu sitio. La vulnerabilidad afecta a todas las versiones iguales o anteriores a la 2.6.8.
El método más fiable es revisar la información directamente desde el panel de administración de WordPress. Sigue estos pasos:
- Accede a tu panel de administración de WordPress.
- Navega hasta Plugins → Plugins instalados.
- Localiza Migratico Lite en la lista. La versión instalada se muestra en la columna correspondiente o dentro de la ficha del plugin.
- Compara esa versión con el rango afectado: ≤ 2.6.8.
Si tu versión es igual o inferior, tu sitio debe considerarse afectado y debes proceder inmediatamente con las acciones de mitigación descritas a continuación. No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la revisión de la versión es el paso crítico inicial.
Mitigación y actualización
La acción principal recomendada por las fuentes oficiales es revisar el aviso del fabricante y aplicar la actualización o mitigación publicada. Sin embargo, en el momento de la publicación de esta CVE, no se ha publicado una versión corregida específica en las fuentes consultadas (NVD y CVE.org).
Mientras esperas una actualización oficial del desarrollador superweby, debes considerar las siguientes medidas de mitigación temporales:
- Desactivar y eliminar el plugin Migratico Lite si no es imprescindible para el funcionamiento del sitio. Esta es la medida más efectiva para eliminar la superficie de ataque.
- Si el plugin es necesario, restringe el acceso a los endpoints vulnerables mediante reglas del firewall de la aplicación web (WAF) o del servidor, bloqueando peticiones no autenticadas que presenten patrones sospechosos.
- Monitoriza los registros del servidor y del firewall en busca de intentos de explotación, especialmente peticiones HTTP anómalas dirigidas al plugin.
- Mantente atento a las actualizaciones del plugin y aplica cualquier parche de seguridad en cuanto esté disponible.
Importante: No se debe asumir que una versión futura del plugin es segura sin verificar el aviso oficial del fabricante. La única mitigación completamente segura es la desactivación del plugin hasta que se confirme una corrección.
Checklist para administradores
Utiliza esta lista para asegurar que has cubierto todos los aspectos críticos de esta vulnerabilidad:
- ☐ He identificado la versión exacta de Migratico Lite instalada en mi WordPress.
- ☐ He confirmado si mi versión está en el rango afectado (≤ 2.6.8).
- ☐ He revisado el aviso oficial del fabricante en la referencia de Patchstack.
- ☐ He desactivado y eliminado el plugin si no es esencial.
- ☐ Si el plugin es esencial, he implementado reglas de firewall para bloquear tráfico sospechoso.
- ☐ He habilitado la monitorización de registros para detectar intentos de explotación.
- ☐ He establecido un mecanismo para recibir alertas de nuevas versiones del plugin.
- ☐ He documentado las acciones tomadas y la fecha de las mismas.
Preguntas frecuentes
¿Qué es CWE-94 y por qué es relevante?
La vulnerabilidad está clasificada como CWE-94: Control inadecuado de la generación de código (Inyección de Código). Esto significa que un atacante puede inyectar y ejecutar código arbitrario en el servidor, lo que permite un compromiso total del sitio y potencialmente del servidor.
¿Necesito credenciales para explotar esta vulnerabilidad?
No. La vulnerabilidad se describe como “Unauthenticated Remote Code Execution”, lo que significa que un atacante remoto puede explotarla sin necesidad de autenticación previa. Esto eleva su criticidad al máximo nivel.
¿El plugin Migratico Lite es un producto oficial de WordPress?
No. Migratico Lite es un plugin de terceros desarrollado por superweby. No forma parte del núcleo de WordPress y debe tratarse con el mismo nivel de escrutinio que cualquier otro componente de terceros.
¿Existe algún indicador de compromiso (IOC) conocido?
Según las fuentes consultadas (NVD y CVE.org), no se han publicado IOC estructurados para esta vulnerabilidad. No se deben inventar ni utilizar indicadores no verificados.
¿Qué debo hacer si ya he sido comprometido?
Si sospechas que tu sitio ha sido comprometido, debes asumir que el atacante tiene control total. Cambia todas las credenciales, busca archivos inyectados, revisa usuarios administradores no autorizados y considera restaurar desde una copia de seguridad limpia anterior a la fecha de publicación de la CVE (2026-09-17).
¿Cuál es la puntuación CVSS de esta vulnerabilidad?
La puntuación CVSS v3.1 es 10.0 (Crítica) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Esto indica un impacto total en confidencialidad, integridad y disponibilidad, con alcance cambiado.
Fuentes oficiales
Para obtener información detallada y actualizaciones oficiales, consulta las siguientes referencias:
- NVD – Detalle de CVE-2026-62104 (Fuente primaria).
- Patchstack – Base de datos de vulnerabilidades de WordPress (Referencia NVD/CVE.org).
Se recomienda revisar periódicamente estas fuentes para conocer la disponibilidad de parches oficiales o avisos adicionales del fabricante.