Boletín diario · 13 de agosto de 2026
Backdoors en plugins de WordPress y exploración activa elevan la alerta del día
Resumen automatizado Vexday · fuentes: NVD, CISA KEV, EPSS
Veredicto del día — atención6 vista(s) antes que CISA
La jornada del 13 de agosto de 2026 se caracteriza por un nivel de ATENCIÓN elevado: seis vulnerabilidades ya están siendo explotadas activamente y otras seis fueron detectadas por VulnCheck antes de cualquier confirmación oficial del CISA, lo que indica presión real sobre defensores sin esperar notificaciones formales. El ecosistema WordPress concentra los hallazgos más graves, con plugins populares comprometidos mediante builds manipulados que instalan backdoors persistentes, mientras dos CVEs adicionales alcanzan CVSS 10.0 por ejecución remota de código sin autenticación.
Resumen del día
- Dos plugins de WordPress (Fluent Forms Pro y Ninja Tables Pro) fueron distribuidos con código malicioso embebido que instala backdoors REST y administradores sin contraseña.
- Seis CVEs ya en explotación activa detectados por VulnCheck antes del CISA — señal de que atacantes se adelantan a los mecanismos oficiales de alerta.
- Cuatro CVEs críticos CVSS 10.0 en WordPress y otros sistemas incluyen RCE sin autenticación y un plugin distribuido deliberadamente como backdoor.
- Brasil concentra múltiples víctimas recientes de ransomware en sectores gobierno, educación y tecnología, con lockbit5 liderando actividad en el país.
Destacados críticos
1
Fluent Forms Pro 6.2.7 fue distribuido con un build manipulado a través de un servidor de actualización desactivado; el archivo rogue instala un endpoint REST de backdoor y archivos PHP persistentes en mu-plugins, otorgando acceso completo sin credenciales — es una compromisión de cadena de suministro activa que requiere revisión inmediata de instalaciones.
2
Ninja Tables Pro 5.2.11 sufrió la misma clase de ataque que Fluent Forms Pro: build manipulado que introduce un endpoint REST malicioso y crea administradores sin contraseña, con explotación ya observada por VulnCheck — cualquier instancia activa de este plugin debe considerarse comprometida hasta que se verifique.
3
ASP-CMS expone una inyección SQL no autenticada en commentList.asp que permite extraer contenidos sensibles de la base de datos evadiendo el blocklist mediante la técnica de intercalado de la cadena 'master'; con prueba de concepto disponible y explotación observada, es un blanco fácil para reconocimiento y exfiltración de datos.
4
El sistema de RRHH Hongjing e-HR permite a atacantes no autenticados bypassear el filtro de autenticación oauthservlet mediante path traversal y ejecutar inyecciones SQL UNION en el parámetro codeitemid, exponiendo datos sensibles de empleados y organización sin necesidad de credenciales.
5
El plugin REST API Log para WordPress expone datos sensibles a usuarios no autenticados en versiones hasta 1.7.1, con explotación ya detectada en la práctica — cualquier log de API que incluya tokens, credenciales o datos de sesión queda al alcance de atacantes externos.
6
MultiVendorX hasta la versión 5.0.10 presenta un control de acceso roto que permite a actores no autenticados acceder a recursos protegidos, con explotación observada por VulnCheck; en entornos de marketplace esto puede traducirse en acceso a datos de vendedores, pedidos y configuraciones sensibles.
7
CVE-2026-59500CVSS 10afecta Portal Generator addon to Priority ERP (developed by Soft Solutions) El addon Portal Generator para Priority ERP presenta autenticación incorrecta con CVSS 10.0, lo que significa que atacantes pueden interactuar con el portal ERP sin validación de identidad — en entornos empresariales esto representa riesgo directo sobre datos financieros y operativos críticos.
8
El plugin Link Factory para WordPress es en sí mismo un backdoor distribuido deliberadamente: expone una API REST controlada por el operador, verificada con una clave pública hardcodeada, lo que otorga control remoto arbitrario sobre cualquier sitio donde esté instalado — su sola presencia debe tratarse como indicador de compromiso.
9
WP BASE Booking hasta la versión 6.3.0 permite ejecución arbitraria de código por usuarios no autenticados con CVSS 10.0; en un plugin de reservas activo, esto implica control total del servidor web sin necesidad de ninguna credencial previa.
10
QA Analytics hasta la versión 5.2.0.0 también expone RCE no autenticado con CVSS 10.0; siendo un plugin de analítica, es probable que esté activo en sitios de producción sin recibir la atención de seguridad de componentes más visibles, lo que lo convierte en un vector de entrada de bajo perfil y alto impacto.
Ransomware del día
Recientemente, Chat Jurídico, empresa brasileña del sector de servicios profesionales, fue identificada como víctima del grupo direwolf. En los últimos 30 días, el actor más activo en Brasil es lockbit5, con 21 ataques registrados en el país, seguido por Section9 (6), Global Secret Group (4), thegentlemen (3) y L Group y ransomhouse con 2 ataques cada uno — una concentración de actividad que indica que Brasil sigue siendo blanco prioritario para múltiples operadores de ransomware simultáneamente.
Chat Jurídico BRdirewolf · Professional Services
lockbit5 21Section9 6Global Secret Group 4thegentlemen 3L Group 2ransomhouse 2
Grupos y APTs activos
Varios grupos de amenaza avanzada se encuentran activos o bajo monitoreo activo en este período: linkc, Equation, Darkhotel (de origen norcoreano), karakurt, LeakBazaar y apt73 han sido actualizados en inteligencia de amenazas, aunque sin víctimas confirmadas públicamente hasta el momento. La presencia simultánea de actores como Equation y Darkhotel en el radar sugiere actividad de espionaje y reconocimiento que puede no materializarse en víctimas visibles de inmediato.
Foco Brasil
Brasil concentra un número significativo de víctimas recientes en sectores críticos: Intranet Gov Brasil (gobierno) fue atacada por thegentlemen; Alya Construtora (manufactura) por ransomhouse; brdigital.net.br y PontoBR Sistemas (tecnología) por L Group y spacebears respectivamente; las instituciones educativas uva.edu.br y cesmac.edu.br fueron comprometidas por L Group y krybit; y eSysTech (tecnología) por Orova. La diversidad de sectores y grupos activos confirma que la superficie de ataque sobre organizaciones brasileñas es amplia y persistente.
Chat Jurídicodirewolf · Professional Services
Intranet Gov Brasilthegentlemen · Government & Defense
Alya Construtoraransomhouse · Manufacturing
brdigital.net.brL Group · Technology
uva.edu.brL Group · Education
PontoBR Sistemasspacebears · Technology
cesmac.edu.brkrybit · Education
eSysTechOrova · Technology
Recomendación del día: Priorizar la revisión inmediata de cualquier instalación de Fluent Forms Pro, Ninja Tables Pro, Link Factory, WP BASE Booking y QA Analytics, dado que varios de estos plugins representan compromisos de cadena de suministro o backdoors distribuidos deliberadamente; adicionalmente, bloquear actualizaciones provenientes de servidores no verificados y auditar los usuarios administradores de WordPress creados recientemente.
Ante un día con seis vulnerabilidades en explotación activa y detección anticipada por VulnCheck, es el momento indicado para validar activamente qué versiones de estos componentes están desplegadas en la propia infraestructura y si existen señales de compromiso previo que aún no han sido identificadas.Saber que la falla existe es la mitad; la otra mitad es saber si te afecta. Empieza con una prueba de exposición sin costo inicial.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →