Introducción

El 6 de agosto de 2026, WordPress publicó la versión 7.0.3, una actualización de seguridad que parcheó una de las vulnerabilidades más graves en la historia de la plataforma: CVE-2026-64638 (GHSA-52p2-r8wf-jcrf), una vulnerabilidad de cross-site scripting (XSS) reflejado en la pantalla de login, wp-login.php. Descubierta por pwn.ai, esta vulnerabilidad no requiere autenticación, afecta toda versión de WordPress jamás publicada y puede escalarse a ejecución remota de código bajo las condiciones adecuadas.

La última frase merece repetirse: toda versión de WordPress jamás publicada es vulnerable. No existe una versión segura. Existe la versión parchada.

La página de login es la única página en todo sitio de WordPress que está garantizada a ser públicamente accesible. No se puede esconder detrás de una regla de WAF, no se puede restringir por IP, no se puede deshabilitar sin romper funcionalidad del core. Y es exactamente en esa página donde vive el XSS.

Cómo funciona la vulnerabilidad

CVE-2026-64638 es un XSS reflejado en wp-login.php. La pantalla de login acepta varios parámetros de query que son reflejados en el output HTML sin el escaping adecuado. Construyendo una URL maliciosa, un atacante puede inyectar JavaScript que se ejecuta en el navegador de cualquiera que haga clic en el enlace.

[Diagram: Un flujo simplificado que muestra a un atacante construyendo una URL maliciosa hacia wp-login.php con un payload XSS, enviándola a la víctima vía phishing, el navegador de la víctima ejecutando el JavaScript inyectado en la página de login, y el atacante capturando credenciales o secuestrando la sesión.]

La cadena de ataque funciona así:

Construir la URL: El atacante construye una URL hacia wp-login.php con un parámetro de query especialmente manipulado que contiene un payload de JavaScript. El parámetro es reflejado en el HTML de la página sin sanitización suficiente.
Entregar la URL: El atacante envía esta URL al objetivo. Como la URL apunta a la página de login legítima de un sitio real de WordPress, parece inofensiva. Los filtros de correo y herramientas de seguridad difícilmente marquen un enlace al dominio de login conocido.
Ejecutar en el navegador: Cuando la víctima hace clic en el enlace, su navegador carga la página real de login de WordPress con el JavaScript inyectado ejecutándose en el contexto de la página. El script puede leer valores del DOM, capturar pulsaciones de teclas, exfiltrar datos del formulario o modificar la página.
Escalar a RCE: Aquí es donde se complica. Un sitio web malicioso de terceros especialmente construido, combinado con ingeniería social de la víctima, puede escalar el XSS a ejecución de código PHP en el servidor. Esto requiere que el atacante engañe a la víctima para que visite un sitio específico mientras el payload XSS está activo, pero la ruta de escalación existe y está documentada.

Lo siguiente es un ejemplo ilustrativo, no código de producción:

// Ilustración simplificada del punto de reflexión en wp-login.php
// La vulnerabilidad real involucra escaping insuficiente de un parámetro de query
// que es reflejado en el output HTML durante el renderizado del formulario de login.

// Patrón vulnerable (simplificado):
$redirect_to = isset($_REQUEST['redirect_to']) ? $_REQUEST['redirect_to'] : '';
// ... más adelante en el template HTML ...
<input type="hidden" name="redirect_to" value="<?php echo $redirect_to; ?>" />
// Sin escaping adecuado vía esc_attr(), esto permite inyección de atributos y XSS

Esta es una representación simplificada. El exploit real involucra manipulación de parámetros más matizada, pero el problema central es el mismo: input controlado por el usuario reflejado en la página sin sanitización adecuada.

Por qué esto es crítico para tu negocio

Cuatro factores hacen a CVE-2026-64638 excepcionalmente peligrosa:

No requiere autenticación. La vulnerabilidad está en la página de login. El atacante no necesita una cuenta, una sesión ni ningún acceso previo. Cualquiera en internet puede construir la URL maliciosa.

Exposición universal. Toda versión de WordPress jamás publicada está afectada. Ya sea que corras WordPress 4.7, 5.9, 6.5 o 7.0, la vulnerabilidad está presente. No hay versión que puedas estar corriendo que sea segura sin el parche.

La página de login siempre es pública. A diferencia de paneles de administración o endpoints de la REST API que se pueden restringir, la página de login debe ser accesible para todos los usuarios. No puedes bloquearla sin romper el sitio para usuarios legítimos.

Escalación a RCE. El XSS no se limita a robo de credenciales o secuestro de sesión. Bajo las condiciones adecuadas, puede escalarse a ejecución remota de código completa en el servidor. Eso significa compromiso total: exfiltración de datos, despliegue de malware, movimiento lateral, todo.

Si usas WordPress y no has actualizado a 7.0.3, estás expuesto. Punto.

Cómo arreglarlo

WordPress 7.0.3 se publicó el 6 de agosto de 2026, el mismo día que se divulgó la vulnerabilidad. El parche se ha backportado a toda rama soportada, hasta 4.7.

Si estás en WordPress 7.x: Actualiza a 7.0.3 inmediatamente.

Si estás en una rama anterior: El parche se ha backportado a las ramas 4.7 hasta 6.x. Tu ruta de actualización depende de tu versión actual:

WordPress 6.x → actualiza al último patch release de 6.x
WordPress 5.x → actualiza al último patch release de 5.x
WordPress 4.7-4.x → actualiza al último patch release de 4.x

Si tu rama ya no recibe actualizaciones, necesitas actualizar a una versión soportada. Correr una rama sin soporte significa que estás vulnerable a esta y a cualquier otra vulnerabilidad divulgada desde que tu rama quedó deprecada.

Actualiza ahora. Esto no es un fix para "agendarlo en la próxima ventana de mantenimiento". La página de login está siendo escaneada activamente por herramientas automatizadas de exploit. La ventana entre divulgación y explotación activa para XSS pre-auth en WordPress se mide en horas.

Más allá del XSS de login: 11 vulnerabilidades adicionales en 7.0.3

WordPress 7.0.3 no es un release de un solo parche. Junto a CVE-2026-64638, la actualización parcheó 11 vulnerabilidades adicionales:

XSS almacenado para contribuidor+ vía configuración de emoji: Usuarios con rol de contribuidor o superior pueden inyectar XSS almacenado a través de configuraciones relacionadas con emoji.
XSS almacenado para contribuidor+ en bloque Post Content: XSS almacenado vía el bloque Post Content, explotable por contribuidores y superiores.
XSS almacenado para contribuidor+ en Quick Edit: XSS almacenado vía la interfaz de Quick Edit.
XSS almacenado para contribuidor+ en bloque Post Date: XSS almacenado vía el bloque Post Date.
Escalación de privilegios en redes multisite: Una vulnerabilidad que permite escalación de privilegios específicamente en instalaciones multisite de WordPress.
Divulgación de información en bloque Latest Comments: El bloque Latest Comments puede divulgar información que no debería exponerse.
Enumeración de slugs de posts: Los atacantes pueden enumerar slugs de posts, potencialmente revelando contenido que no debería ser públicamente descubrible.
Divulgación de notas en feeds de comentarios: Los feeds de comentarios pueden divulgar notas que se intentaban mantener privadas.
Inyección de CSS para autor+: Usuarios con rol de autor o superior pueden inyectar CSS.
Bypass del flujo de confirmación por email: El mecanismo de confirmación por email puede ser evadido.
SSRF en validación de URLs: Server-side request forgery en el mecanismo de validación de URLs.

Varias de estas son graves por sí solas. La escalación de privilegios en multisite, en particular, puede permitir que un administrador de un subsite escale a administrador de red. Si corres una red multisite, esto es una actualización crítica independientemente del XSS de login.

Recomendaciones de hardening

Parchear es el primer paso. Hardening es el segundo.

Web Application Firewall (WAF): Configura reglas de WAF para detectar y bloquear intentos de XSS en wp-login.php. Busca parámetros de query que contengan payloads de JavaScript, manejadores de eventos on y tags <script> en parámetros de URL. Una buena regla de WAF debería capturar patrones de XSS conocidos incluso antes de aplicar el parche.

Content Security Policy (CSP): Despliega un header de Content Security Policy estricto en tu página de login de WordPress. Un CSP que prohíba scripts inline y restrinja las fuentes de script a tu propio dominio puede prevenir que el XSS se ejecute incluso si la inyección tiene éxito. Directiva CSP de ejemplo para la página de login:

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; object-src 'none'; base-uri 'self'

Esto es ilustrativo. Adáptalo a tu configuración específica y prueba antes de desplegar, ya que un CSP demasiado estricto puede romper funcionalidad legítima.

Políticas de actualización: Esta vulnerabilidad demuestra por qué las actualizaciones automáticas deberían estar habilitadas para WordPress core. El parche estuvo disponible el 6 de agosto. Si no tenías activadas las actualizaciones automáticas de versiones menores, fuiste vulnerable desde ese momento hasta que actualizaste manualmente. Configura actualizaciones automáticas de versiones menores para WordPress core y establece un proceso para evaluar y aplicar releases de seguridad dentro de las 24 horas de su publicación.

Conciencia de phishing: Dado que el XSS requiere que la víctima haga clic en un enlace construido, la conciencia de phishing es un control relevante. Capacita al personal para sospechar de enlaces de login recibidos por correo o mensajería, incluso si parecen apuntar a tu propio dominio.

Monitoreo: Monitorea los logs de acceso en busca de peticiones anómalas a wp-login.php con strings de query inusualmente largos o parámetros que contengan contenido similar a JavaScript. Estos son indicadores de probing de XSS.

Conclusión

CVE-2026-64638 es el tipo de vulnerabilidad que mantiene a los equipos de seguridad despiertos. Pre-auth, universal, en una página que no se puede bloquear, con una ruta de escalación a compromiso total del servidor. WordPress respondió rápido con un fix, pero el fix solo protege a los sitios que lo instalan.

Si estás corriendo WordPress y todavía no has actualizado a 7.0.3 o al último parche de tu rama, hazlo ahora. No mañana. No la próxima semana. Ahora.

¿Corrés un sitio de WordPress desactualizado? Nuestro equipo puede ayudarte con auditoría y remediación.

XSS Pre-Auth en la Pantalla de Login de WordPress: CVE-2026-64638