Dos alertas críticas de WordPress en quince días, y un sitio chileno ya sirviendo phishing

La ANCI publicó dos alertas críticas de WordPress entre el 20 de julio y el 3 de agosto. En medio de ambas, otra alerta mostró un sitio `.cl` legítimo alojando una campaña de fraude. Es el riesgo abstracto y su consecuencia concreta, con dos semanas de diferencia.

Qué pasó

La ANCI publicó dos alertas críticas de WordPress en quince días, ambas dirigidas explícitamente a prestadores de servicios esenciales y operadores de importancia vital.

AVC26-00724, 20 de julio. CVE-2026-63030 afecta al endpoint de procesamiento por lotes de la API REST. La falla se explota de forma remota y sin autenticación. Combinada con CVE-2026-60137, permite manipular consultas a la base de datos y llegar a ejecutar código en el servidor. Es la cadena completa: de una petición HTTP anónima a control del servidor.

AVC26-00726, 3 de agosto. Las versiones afectadas no sanitizan el parámetro author_not_in de WP_Query, lo que habilita inyección SQL cuando un plugin o un tema pasa ahí una entrada no confiable. El matiz importa: el agujero está en el núcleo, pero quien lo abre suele ser un plugin de terceros.

La corrección en ambos casos es la misma: actualizar el núcleo a 6.8.6, 6.9.5 o 7.0.2 o posterior, y verificar que las actualizaciones automáticas hayan quedado aplicadas de verdad, cosa que en instalaciones con temas o plugins que las bloquean no siempre ocurre.

Por qué importa acá

WordPress no es solo el motor de los blogs. En Chile sostiene tiendas, medios, portales institucionales, sitios de reservas y las páginas corporativas de buena parte de las empresas medianas. Es infraestructura crítica silenciosa: nadie la inventaria como tal, y casi nadie la parcha con la urgencia con que parcha un firewall.

Los escáneres automatizados no distinguen geografía ni tamaño. Solo ven la huella de una versión vulnerable. Por eso el sitio de una pyme de Ñuñoa es tan atractivo como el de una multinacional: cuesta lo mismo comprometerlo, y sirve igual como plataforma para el ataque siguiente.

Si tu sitio maneja datos personales de clientes —nombres, correos, RUT, información de pago— un compromiso activa además las obligaciones de la Ley 21.719. Y si tu organización es OIV o prestador de servicios esenciales, la Ley 21.663 convierte esto en un asunto de reporte, no solo en un ticket de TI. Confirma el procedimiento vigente en el portal de la ANCI.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — CVE-2026-63030 se explota sin credenciales contra el endpoint de lotes de la API REST.
• T1505.003 — Es como se mantiene el acceso después del parche. Si no se busca, sobrevive a la actualización.
• T1136.001 — Alta de un administrador de WordPress que nadie del equipo reconoce.
• T1584.004 — El objetivo final en ACF26-01130: usar el sitio ajeno como alojamiento del fraude.
• T1608.005 — El portal falso montado dentro del WordPress comprometido.

https://bioredox.cl/wp-content/in/app/index.php
/wp-json/batch/v1

title: Indicios de compromiso en instalaciones WordPress
id: 9d4a2f18-6c73-4b90-a1e5-8f3d7b201c64
status: experimental
description: >
  Cubre las dos rutas de abuso descritas en AVC26-00724 y AVC26-00726 de la ANCI:
  peticiones sin autenticar al endpoint de lotes de la API REST, y creacion de archivos
  PHP dentro de wp-content, que es como se persiste una web shell.
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/08/03
logsource:
  category: webserver
detection:
  api_lotes:
    cs-uri-stem|contains: '/wp-json/batch/v1'
  sin_sesion:
    cs-cookie|contains: 'wordpress_logged_in'
  php_en_uploads:
    cs-uri-stem|contains: '/wp-content/uploads/'
    cs-uri-stem|endswith: '.php'
  condition: (api_lotes and not sin_sesion) or php_en_uploads
falsepositives:
  - El endpoint de lotes tiene uso legitimo desde el propio panel de administracion.
    Filtrar por origen antes de bloquear; alertar primero, bloquear despues.
  - Ningun PHP deberia servirse jamas desde uploads. Ahi no hay falso positivo posible.
level: high
tags:
  - attack.initial_access
  - attack.t1190
  - attack.persistence
  - attack.t1505.003

// Ejecucion de PHP desde directorios de subida y altas de administrador en WordPress
let ventana = 45d;
union isfuzzy=true
 (DeviceProcessEvents
   | where Timestamp > ago(ventana)
   | where InitiatingProcessFileName in~ ("php-fpm","php","httpd","apache2","nginx")
   | where ProcessCommandLine has "wp-content"
   | project Timestamp, DeviceName, Senal="proceso desde wp-content", Detalle=ProcessCommandLine),
 (DeviceFileEvents
   | where Timestamp > ago(ventana)
   | where FolderPath has "wp-content" and FileName endswith ".php"
   | where ActionType in ("FileCreated","FileModified")
   | project Timestamp, DeviceName, Senal="PHP nuevo en wp-content", Detalle=FolderPath)
| order by Timestamp desc

# Ejecutar en el servidor del sitio. No borra nada: solo enumera para revision.

# 1. PHP creado o modificado en los ultimos 45 dias dentro de wp-content
find /var/www -path '*/wp-content/*' -name '*.php' -mtime -45 -printf '%TY-%Tm-%Td  %p\n' | sort

# 2. PHP dentro de uploads: no existe razon legitima para que haya uno
find /var/www -path '*/wp-content/uploads/*' -name '*.php' -ls

# 3. Administradores dados de alta, ordenados por fecha de registro
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --allow-root

# 4. Version instalada frente a las parchadas por la ANCI (6.8.6 / 6.9.5 / 7.0.2)
wp core version --allow-root

# 5. Plugins con actualizacion pendiente, que es donde suele estar el agujero real
wp plugin list --update=available --allow-root

Fuentes

• ANCI / CSIRT NacionalAVC26-00724 — WordPress, vulnerabilidad crítica (CVE-2026-63030) · 2026-07-20
• ANCI / CSIRT NacionalAVC26-00726 — WordPress, inyección SQL en WP_Query · 2026-08-03
• ANCI / CSIRT NacionalACF26-01130 — campaña que suplanta a CorreosChile · 2026-07-30
• MITRE ATT&CKT1190 — Exploit Public-Facing Application
• MITRE ATT&CKT1505.003 — Server Software Component: Web Shell
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado