Alerta CRÍTICA: Se ha publicado la CVE-2026-75799, una vulnerabilidad de inyección de código que afecta al plugin de WordPress YAHMAN Add-ons en versiones anteriores a la 0.9.31. Un atacante remoto no autenticado podría escribir archivos PHP arbitrarios en el servidor y lograr ejecución remota de código (RCE) si la funcionalidad de caché remota está habilitada. Se recomienda actualizar el plugin de inmediato o deshabilitar la característica afectada como medida de mitigación urgente.
Resumen ejecutivo
| CVE | CVE-2026-75799 |
|---|---|
| Fabricante | No publicado por las fuentes consultadas |
| Producto | YAHMAN Add-ons (plugin WordPress) |
| Fecha de publicación | 23 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.0 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H) |
| Prioridad RyzerBot | 215 (alta prioridad) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-75799 es una vulnerabilidad de tipo Code Injection (CWE-94) identificada en el plugin YAHMAN Add-ons para WordPress. El fallo reside en la funcionalidad que permite al plugin cachear archivos remotos en un directorio de acceso público.
Según la descripción oficial, el plugin «no valida el tipo de los archivos remotos que almacena en caché en un directorio de acceso público». Esto significa que, cuando la característica relevante está habilitada, un atacante no autenticado podría hacer que el plugin descargue y almacene un archivo malicioso —por ejemplo, un script PHP— en una ubicación del servidor accesible desde Internet.
La falta de validación del tipo de archivo permite que el contenido descargado sea tratado como un componente ejecutable del sitio. Si el atacante consigue que el archivo PHP se almacene en un directorio accesible, podría posteriormente invocarlo directamente mediante una petición HTTP, logrando así la ejecución remota de código arbitrario en el servidor con los privilegios del proceso de WordPress.
La puntuación CVSS de 9.0 refleja la gravedad del problema: aunque el vector requiere una complejidad de ataque alta (AC:H), el impacto es total en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H), y el alcance es cambiante (S:C), lo que implica que el compromiso puede extenderse más allá del plugin afectado.
Es importante destacar que la vulnerabilidad solo es explotable cuando la funcionalidad de caché remota está habilitada. No se ha publicado información sobre si dicha funcionalidad está activada por defecto en las versiones afectadas.
La referencia pública proporcionada por NVD y CVE.org apunta a un aviso de WPScan, lo que confirma que se trata de un problema conocido en el ecosistema WordPress y que existen recursos técnicos adicionales para los administradores.
No se ha publicado información sobre exploits públicos, parches específicos o versiones corregidas más allá de la indicación de que la versión 0.9.31 resuelve el problema. Se recomienda encarecidamente a los administradores de sitios WordPress que utilicen este plugin que verifiquen la versión instalada y apliquen la actualización correspondiente sin demora.
Productos y versiones vulnerables
La vulnerabilidad afecta al plugin YAHMAN Add-ons para WordPress. Según los datos publicados por CVE.org, todas las versiones anteriores a 0.9.31 se consideran afectadas. La información canónica del CNA no detalla un listado específico de versiones individuales más allá del rango semver indicado.
| Producto | Versión afectada | Versión segura |
|---|---|---|
| YAHMAN Add-ons (WordPress) | < 0.9.31 | 0.9.31 y posteriores |
No se ha publicado información adicional sobre otras plataformas o productos afectados en las fuentes consultadas.
Impacto y riesgo
El plugin YAHMAN Add-ons, en versiones anteriores a la 0.9.31, no valida el tipo de los archivos remotos que almacena en caché dentro de un directorio de acceso público. Esta deficiencia permite a un atacante no autenticado escribir archivos PHP arbitrarios en el servidor, lo que puede derivar en la ejecución remota de código (RCE) cuando la funcionalidad correspondiente está habilitada.
La puntuación CVSS v3.1 asignada es de 9.0 (CRITICAL), con el vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H. Aunque el vector refleja una complejidad de ataque alta (AC:H), el impacto potencial es severo: compromiso total de la confidencialidad, integridad y disponibilidad del sistema, con un alcance cambiante (S:C) que implica que el impacto puede trascender al recurso vulnerable y afectar a otros componentes del servidor.
El factor de explotabilidad se ha calculado en 2.2 y el de impacto en 6.0. La combinación de acceso de red, ausencia de autenticación y la posibilidad de ejecutar código arbitrario convierte esta vulnerabilidad en un objetivo prioritario para campañas automatizadas, especialmente en entornos WordPress con el plugin activo y la función de caché habilitada.
La clasificación CWE asociada es CWE-94 (Control inadecuado de generación de código, «Inyección de código»), lo que confirma la naturaleza de la falla: el servidor confía en contenido remoto sin verificar su tipo, permitiendo la inyección de código ejecutable.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no confirman explícitamente que esta vulnerabilidad haya sido explotada activamente en entornos reales. La referencia de WPScan incluida en el contexto está etiquetada como exploit, vdb-entry y technical-description, lo que sugiere que existe un análisis técnico detallado y posiblemente una prueba de concepto publicada. Sin embargo, no se dispone de información concluyente sobre campañas de explotación masiva o incidentes confirmados.
Dado el carácter crítico de la vulnerabilidad y la facilidad de acceso (no se requiere autenticación), se recomienda asumir un escenario de riesgo elevado y aplicar las medidas correctivas de forma inmediata, sin esperar a confirmar explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos aparece vacío. No deben inventarse ni asumirse IOC específicos sin evidencia contrastada.
Se recomienda monitorizar los directorios de caché del plugin en busca de archivos PHP inesperados, así como revisar los registros de acceso al servidor para detectar peticiones sospechosas dirigidas a la funcionalidad de caché remota. No obstante, estas acciones deben considerarse medidas generales de higiene, no indicadores confirmados de compromiso.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-75799, debes verificar la versión del plugin YAHMAN Add-ons que tienes activa. Según los datos publicados, todas las versiones anteriores a 0.9.31 están afectadas.
El método más fiable es revisar la información directamente desde el panel de administración de WordPress:
- Accede a tu panel de administración de WordPress.
- Navega hasta Plugins → Plugins instalados.
- Localiza YAHMAN Add-ons en la lista.
- Comprueba el número de versión que se muestra en la columna «Versión» o en la ficha del plugin.
Si la versión instalada es inferior a 0.9.31, tu sitio es potencialmente vulnerable. Además, debes tener en cuenta que la vulnerabilidad solo es explotable si la funcionalidad de caché de archivos remotos está habilitada. Revisa la configuración del plugin para confirmar si esta característica está activa en tu instalación.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la comprobación debe basarse en la versión del plugin y en la revisión de los archivos almacenados en el directorio de caché público que utiliza el plugin.
Mitigación y actualización
La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Dado que la vulnerabilidad afecta a versiones anteriores a 0.9.31, la medida más efectiva es actualizar el plugin a la versión más reciente disponible que corrija el fallo.
Mientras tanto, si no puedes actualizar de inmediato, considera las siguientes medidas de mitigación temporal:
- Deshabilita la funcionalidad de caché de archivos remotos si no es imprescindible para tu operación. La vulnerabilidad solo es explotable cuando esta característica está habilitada.
- Restringe el acceso al directorio de caché público mediante reglas en el servidor web o en el archivo
.htaccess, impidiendo la ejecución de archivos PHP en esa ubicación. - Supervisa los archivos almacenados en el directorio de caché para detectar archivos PHP inesperados que puedan indicar un intento de explotación.
- Mantén copias de seguridad recientes para poder restaurar el sitio en caso de compromiso.
Es importante señalar que las fuentes consultadas no publican una versión corregida específica más allá de la indicación de que la versión 0.9.31 resuelve el problema. Consulta el repositorio oficial del plugin o el aviso del fabricante para obtener la versión actualizada.
Checklist para administradores
- ☐ He verificado la versión instalada del plugin YAHMAN Add-ons en mi WordPress.
- ☐ He confirmado si la funcionalidad de caché de archivos remotos está habilitada.
- ☐ He actualizado el plugin a la versión 0.9.31 o superior si estaba afectado.
- ☐ He deshabilitado la caché de archivos remotos si no puedo actualizar inmediatamente.
- ☐ He revisado el directorio de caché público en busca de archivos PHP sospechosos.
- ☐ He restringido la ejecución de PHP en el directorio de caché mediante reglas del servidor.
- ☐ He consultado el aviso oficial del fabricante y las referencias de NVD y WPScan.
- ☐ He verificado que mis copias de seguridad están actualizadas y son restaurables.
- ☐ He monitorizado los registros del servidor en busca de intentos de explotación.
Preguntas frecuentes
¿Qué es CVE-2026-75799?
Es una vulnerabilidad crítica de inyección de código (CWE-94) en el plugin YAHMAN Add-ons para WordPress, que permite a atacantes no autenticados escribir archivos PHP arbitrarios en el servidor y lograr ejecución remota de código cuando la funcionalidad de caché de archivos remotos está habilitada.
¿Qué versión de YAHMAN Add-ons está afectada?
Todas las versiones anteriores a la 0.9.31 están afectadas según los datos publicados por CVE.org y NVD.
¿Cómo se explota esta vulnerabilidad?
El plugin no valida el tipo de los archivos remotos que almacena en caché en un directorio de acceso público. Un atacante podría hacer que el plugin descargue y almacene un archivo PHP malicioso, que luego podría ejecutarse en el servidor.
¿Qué puntuación CVSS tiene esta vulnerabilidad?
La puntuación CVSS v3.1 es de 9.0 con severidad CRÍTICA. El vector es CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H.
¿Existen exploits públicos disponibles?
La referencia de WPScan incluida en las fuentes consultadas está etiquetada como «exploit» y «technical-description», lo que sugiere que podría existir información técnica pública. Sin embargo, no se han publicado detalles específicos de exploit en los datos analizados.
¿Qué debo hacer si mi sitio está comprometido?
Si sospechas que tu sitio ha sido comprometido, actualiza el plugin inmediatamente, elimina cualquier archivo PHP sospechoso del directorio de caché, cambia todas las credenciales de acceso y revisa los registros del servidor en busca de actividad anómala.
Fuentes oficiales
Para obtener información detallada y actualizaciones oficiales sobre CVE-2026-75799, consulta las siguientes fuentes:
- NVD – National Vulnerability Database: CVE-2026-75799
- WPScan – Ficha de vulnerabilidad de YAHMAN Add-ons
Se recomienda revisar periódicamente estas fuentes para conocer actualizaciones, parches o información adicional sobre la vulnerabilidad.