Qué hacer
esta semana 11 de septiembre de 2026
critica · chile

Cadena de vulnerabilidades en WordPress permite RCE sin autenticación

ANCI (AVC26-00724) alertó una cadena de dos vulnerabilidades en WordPress —CVE-2026-63030 y CVE-2026-60137— que combinadas permitirían ejecución remota de código sin autenticación previa.

Esta semana — prioridad 1

Bloquear o restringir en el WAF/reverse proxy el acceso público a /wp-json/wp/v2/batch para solicitudes sin cookie de sesión/nonce válido esfuerzo bajo · attack M1042 · cis 4.1 · iso27001 A.8.9
Aplicar el parche oficial de WordPress en cuanto esté disponible, previa prueba en staging esfuerzo bajo · attack M1051 · cis 7.1 · iso27001 A.8.8

Este mes — prioridad 2

Reducir privilegios de la cuenta de base de datos usada por WordPress al mínimo necesario esfuerzo medio · attack M1026 · cis 6.8 · iso27001 A.8.2
Desplegar reglas de WAF específicas para /wp-json/ con inspección de patrones de inyección y límites de tasa esfuerzo medio · attack M1037 · cis 13.10 · iso27001 A.8.20

Qué necesitas tener logueado

Logs de acceso del servidor web (nginx/Apache) con URI completa y método HTTP
Logs de WAF o reverse proxy delante de los sitios WordPress
Logs de autenticación de WordPress (intentos de login, creación de usuarios)
Integridad de archivos de wp-content (si hay FIM configurado)

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/cadena-vulnerabilidades-wordpress-rce-api-rest-batch/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.