CVE-2026-42696: RCE crítica en SiteVault Backup

Qué es la vulnerabilidad

La CVE-2026-42696 es una vulnerabilidad de tipo ejecución remota de código (RCE) no autenticada identificada en el plugin SiteVault – Backup, Restore, Migration & Cloning de Royal Plugins, utilizado en entornos WordPress. La falla afecta a todas las versiones del plugin hasta la 1.5.19 inclusive.

La causa raíz se clasifica bajo la categoría CWE-94: Control inadecuado de la generación de código (Inyección de código). Esto implica que el plugin no valida ni sanea correctamente ciertas entradas antes de utilizarlas en operaciones que pueden derivar en la ejecución de código arbitrario en el servidor.

La característica más crítica de esta vulnerabilidad es que no requiere autenticación previa (vector AV:N con privilegios PR:N), lo que significa que cualquier atacante con acceso a la red puede intentar explotarla sin necesidad de contar con credenciales válidas del sitio. Además, el impacto se extiende más allá del propio sitio web, ya que el vector CVSS indica un alcance cambiado (S:C), afectando potencialmente a otros recursos del servidor o de la infraestructura subyacente.

La explotación exitosa de esta vulnerabilidad podría permitir a un atacante:

• Ejecutar comandos arbitrarios en el servidor.
• Leer, modificar o eliminar archivos sensibles.
• Comprometer la confidencialidad, integridad y disponibilidad del sitio y sus datos.
• Utilizar el servidor comprometido como punto de partida para ataques adicionales.

Dado que el plugin se utiliza para tareas de backup, restauración, migración y clonado, la superficie de ataque es especialmente sensible: los atacantes podrían acceder a copias de seguridad que contengan información confidencial, credenciales o datos de clientes.

La vulnerabilidad fue publicada inicialmente por Patchstack y posteriormente registrada en el NVD, con fecha de publicación el 10 de octubre de 2026. La antigüedad de la CVE en el momento de la alerta es de aproximadamente 7.7 horas, lo que indica que se trata de una amenaza muy reciente y con alta probabilidad de ser explotada activamente en los próximos días.

No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la detección de una posible explotación debe basarse en el monitoreo de actividades anómalas en los servidores que ejecuten el plugin afectado.

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin SiteVault – Backup, Restore, Migration & Cloning de Royal Plugins en su versión 1.5.19 y anteriores (versiones <= 1.5.19). Según la información publicada por CVE.org, el producto se ve afectado en todas las versiones hasta la 1.5.19 inclusive.

No se han publicado versiones específicas adicionales o ramas de mantenimiento afectadas más allá del rango indicado. Se recomienda a los administradores verificar la versión instalada del plugin y contrastarla con el aviso oficial del fabricante.

Impacto y riesgo

Esta vulnerabilidad ha sido clasificada con una puntuación CVSS de 10.0 (CRITICAL), el valor máximo en la escala CVSS v3.1. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, lo que indica:

• Vector de ataque (AV): Red (N) — explotable de forma remota.
• Complejidad de ataque (AC): Baja (L) — no se requieren condiciones especiales.
• Privilegios requeridos (PR): Ninguno (N) — no se necesita autenticación.
• Interacción del usuario (UI): Ninguna (N).
• Alcance (S): Cambiado (C) — el impacto trasciende el componente vulnerable.
• Impacto en confidencialidad, integridad y disponibilidad (C/I/A): Alto (H) en los tres ejes.

La vulnerabilidad se corresponde con la clasificación CWE-94: Control inadecuado de la generación de código (Inyección de código). Esto implica que un atacante no autenticado podría ejecutar código arbitrario en el servidor donde esté instalado el plugin, comprometiendo potencialmente la totalidad del sitio WordPress y, en escenarios de alcance cambiado, otros recursos del entorno.

El impacto potencial incluye el robo de datos, la modificación o eliminación de contenido, la instalación de puertas traseras persistentes y la posible propagación lateral dentro de la infraestructura. Dada la naturaleza de la funcionalidad del plugin (copias de seguridad, restauración y migración), el acceso a sus rutinas internas podría además exponer información sensible almacenada en los respaldos.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa en entornos reales para esta vulnerabilidad. No se mencionan campañas, exploits públicos o pruebas de concepto disponibles en las referencias incluidas en el contexto.

No obstante, la combinación de una puntuación CVSS máxima, la ausencia de requisitos de autenticación y la naturaleza de inyección de código hacen que esta vulnerabilidad sea un objetivo altamente probable para atacantes automatizados. Se recomienda tratarla como explotable de forma inminente y aplicar las mitigaciones con carácter urgente, sin esperar a que se confirme explotación pública.

Indicadores de compromiso (IOC)

El campo de indicadores de compromiso estructurados (enrichment.ioc) aparece vacío en las fuentes consultadas. No se han publicado IOC literales como direcciones IP, dominios, hashes de archivos o rutas específicas asociadas a esta vulnerabilidad.

Dado que no se dispone de IOC publicados, no deben inventarse ni inferirse indicadores que no estén respaldados por las fuentes oficiales. Se recomienda monitorizar los registros de acceso al servidor en busca de patrones anómalos relacionados con la ejecución de código en el contexto del plugin SiteVault, así como revisar la integridad de los archivos del plugin y los directorios de respaldo.

Cómo comprobar si estás afectado

Determinar si tu instalación de WordPress es vulnerable a CVE-2026-42696 requiere una verificación directa de la versión del plugin SiteVault – Backup, Restore, Migration & Cloning. El fabricante, Royal Plugins, ha confirmado que todas las versiones iguales o anteriores a la 1.5.19 están afectadas por esta vulnerabilidad de ejecución remota de código no autenticada.

Para comprobar tu estado, sigue estos pasos:

1. Accede al panel de administración de WordPress.
2. Navega hasta Plugins → Plugins instalados.
3. Localiza SiteVault – Backup, Restore, Migration & Cloning en la lista.
4. Verifica el número de versión que se muestra en la columna «Versión» o en los detalles del plugin.
5. Si la versión es 1.5.19 o inferior, tu sitio está dentro del rango afectado.

También puedes revisar el archivo readme.txt del plugin en el directorio /wp-content/plugins/sitevault-backup-restore-migration/ mediante FTP o el administrador de archivos de tu hosting. La versión suele indicarse en la cabecera del archivo. Si tienes dudas sobre la versión exacta, contacta con tu proveedor de hosting o con el soporte del plugin.

Importante: La vulnerabilidad permite ejecución remota de código sin autenticación, lo que significa que un atacante podría comprometer completamente tu sitio sin necesidad de credenciales. No demores la comprobación.

Mitigación y actualización

Dado que la vulnerabilidad tiene una puntuación CVSS de 10.0 (CRITICAL) y permite ejecución remota de código sin autenticación, la mitigación debe ser inmediata. Las opciones disponibles son:

1. Actualizar el plugin

La acción principal recomendada por el fabricante es aplicar la actualización publicada. Consulta el aviso oficial de Royal Plugins y el informe de Patchstack para obtener detalles sobre la versión corregida. Si el fabricante ha publicado una versión superior a la 1.5.19, actualiza inmediatamente desde el panel de WordPress o mediante descarga manual.

2. Desactivar el plugin temporalmente

Si no puedes actualizar de inmediato, desactiva el plugin hasta que se aplique la corrección. Esta medida elimina la superficie de ataque, aunque también deshabilitará las funcionalidades de backup, restauración, migración y clonación.

3. Medidas de contención adicionales

• Revisa los logs del servidor en busca de solicitudes sospechosas dirigidas al plugin.
• Cambia todas las credenciales de administración de WordPress, base de datos y hosting como medida preventiva.
• Realiza una copia de seguridad completa del sitio antes de aplicar cualquier cambio, si es posible.
• Audita la integridad de los archivos del núcleo de WordPress y de otros plugins en busca de modificaciones no autorizadas.

Nota: Las fuentes consultadas no publican información sobre exploits activos, IOC ni parches específicos más allá de la referencia a Patchstack. No se deben asumir detalles no confirmados.

Checklist para administradores

• ☐ He verificado la versión instalada de SiteVault – Backup, Restore, Migration & Cloning.
• ☐ He confirmado si mi versión es igual o inferior a 1.5.19 (afectada).
• ☐ He revisado el aviso oficial del fabricante y la referencia de Patchstack.
• ☐ He aplicado la actualización publicada o desactivado el plugin temporalmente.
• ☐ He revisado los logs del servidor en busca de actividad sospechosa.
• ☐ He cambiado las contraseñas de administración y acceso al hosting.
• ☐ He realizado una copia de seguridad completa del sitio.
• ☐ He auditado la integridad de archivos del núcleo y otros plugins.
• ☐ He monitorizado el sitio durante las próximas 24-48 horas para detectar anomalías.

Preguntas frecuentes

¿Qué es CVE-2026-42696?

Es una vulnerabilidad de ejecución remota de código (RCE) no autenticada en el plugin SiteVault – Backup, Restore, Migration & Cloning de Royal Plugins, que afecta a las versiones 1.5.19 e inferiores. Su severidad es CRITICAL con una puntuación CVSS de 10.0.

¿Qué puede hacer un atacante si explota esta vulnerabilidad?

Al permitir ejecución remota de código sin autenticación, un atacante podría ejecutar código arbitrario en el servidor, comprometiendo completamente la confidencialidad, integridad y disponibilidad del sitio y sus datos.

¿Cómo sé si mi sitio ha sido comprometido?

Las fuentes consultadas no publican IOC específicos. Revisa los logs del servidor en busca de solicitudes inusuales, archivos modificados recientemente, usuarios nuevos no autorizados y cualquier comportamiento anómalo del sitio.

¿Qué hago si no puedo actualizar el plugin?

Desactiva el plugin inmediatamente para eliminar la superficie de ataque. Contacta con el soporte de Royal Plugins o con tu proveedor de hosting para buscar alternativas mientras se resuelve la actualización.

¿Esta vulnerabilidad afecta a otros plugins de Royal Plugins?

Las fuentes consultadas solo mencionan el producto SiteVault – Backup, Restore, Migration & Cloning. No se ha publicado información sobre otros productos afectados.

¿Dónde puedo obtener más información?

Consulta las fuentes oficiales en la siguiente sección, incluyendo la entrada de NVD y el informe de Patchstack.