Millones de sitios en WordPress, en riesgo por una falla crítica de inyección SQL en el plugin de respaldos más popular
Una de las herramientas más utilizadas en la gestión de contenidos web se encuentra en el centro de las alertas de ciberseguridad. Investigadores han identificado una vulnerabilidad de inyección SQL (SQLi) de severidad crítica en el plugin All-in-One WP Migration and Backup, extensión con más de cinco millones de instalaciones activas en el ecosistema WordPress.
El fallo, registrado bajo la clave CVE-2026-19949, permite a un atacante remoto no autenticado manipular consultas a la base de datos subyacente y, en el peor de los casos, tomar el control total de la aplicación web afectada.
Un vector indirecto: la trampa de segundo orden
A diferencia de las vulnerabilidades SQLi tradicionales —donde los datos maliciosos se procesan de inmediato al recibirlos en un formulario o parámetro GET—, los reportes publicados por los portales especializados BleepingComputer y SC Media detallan que nos encontramos ante una inyección SQL de segundo orden.
En este escenario, el código malicioso no se ejecuta en el instante en que entra al servidor. Los atacantes aprovechan la funcionalidad nativa de trackbacks y comentarios de WordPress para almacenar una cadena payload especialmente diseñada directamente en la base de datos. Posterior a esto, cuando el plugin de migración procesa los registros del sitio para generar una copia de seguridad o una transferencia, lee esa entrada previamente almacenada sin sanitizar y la ejecuta en la consulta SQL.
Al no requerir credenciales ni permisos previos dentro del panel de administración (wp-admin), cualquier bot o usuario anónimo puede inyectar la carga útil en un sitio expuesto.
La respuesta del desarrollador y la brecha de actualización
ServMask, la firma responsable detrás del desarrollo de All-in-One WP Migration, reaccionó tras la recepción del informe de divulgación responsable y lanzó la versión 7.110, la cual corrige la falta de limpieza en la lectura de los metadatos de la base de datos.
Sin embargo, los datos de telemetría de seguridad resultan preocupantes: se calcula que más del 60% de los sitios web que emplean el plugin aún operan con versiones vulnerables. Esto se debe en gran medida a configuraciones donde las actualizaciones automáticas se encuentran desactivadas por temor a romper dependencias en el sitio.
Recomendaciones para administradores y equipos de SecOps
Para mitigar el riesgo de compromiso en infraestructuras basadas en WordPress, se sugiere la ejecución de las siguientes acciones con carácter urgente:
Actualización prioritaria: Actualizar el plugin All-in-One WP Migration a la versión 7.110 o posterior desde el panel oficial de WordPress.
Revisión de logs e indicadores de compromiso (IoCs): Inspeccionar los registros del servidor web en busca de solicitudes POST inusuales dirigidas a los endpoints
xmlrpc.phpo peticiones de pingbacks sospechosas en entradas del blog.Auditoría de usuarios: Verificar la tabla
wp_userspara descarta la creación no autorizada de cuentas con rol de administrador.
Fuentes: BleepingComputer, SC Media.