Alerta de seguridad: CVE-2026-8181 permite toma de control de administradores en WordPress vía Burst Statistics (200,000 sitios en riesgo)

Una falla crítica en el plugin Burst Statistics (CVE-2026-8181) está siendo explotada para obtener acceso con privilegios de administrador en WordPress, lo que convierte sitios que usan este plugin en objetivos de toma de control completa. Burst Statistics, promovido como una alternativa ligera y respetuosa con la privacidad a Google Analytics y con presencia en alrededor de 200.000 instalaciones, introdujo el código vulnerable en la versión 3.4.0 y este permaneció también en 3.4.1.

El origen técnico del problema radica en la forma en que el plugin valida credenciales mediante la función interna de WordPress wp_authenticate_application_password(). El código de Burst Statistics interpreta respuestas de error (WP_Error) y valores nulos como si fuesen autenticaciones válidas y luego ejecuta wp_set_current_user() con el nombre de usuario suministrado por el atacante, lo que permite suplantar a cualquier administrador conocido durante la ejecución de peticiones REST API.

Esto no es teoría: la API REST de WordPress incluye endpoints sensibles como /wp-json/wp/v2/users y la autenticación básica manipulada por el fallo permite a un atacante suministrar cualquier contraseña y aún así hacerse pasar por el administrador indicado. Los nombres de usuario de administradores suelen exponerse en comentarios, entradas o peticiones públicas, y cuando no están disponibles pueden adivinarse por fuerza bruta, lo que simplifica el trabajo del atacante.

Las consecuencias prácticas son severas: con privilegios admin un atacante puede crear cuentas administrativas fraudulentas, inyectar puertas traseras en archivos y base de datos, distribuir malware, redirigir tráfico, insertar contenido de SEO malicioso o robar datos confidenciales. Los investigadores de Wordfence han confirmado actividad maliciosa en la naturaleza y reportan bloqueos masivos de intentos de explotación; su seguimiento público documenta la campaña en curso y recomienda actualizar o desactivar el plugin de inmediato. Más detalles técnicos y alertas están disponibles en la nota de Wordfence: Wordfence – Burst Statistics y en su tracker de amenazas: Wordfence Threat Intel.

La medida inmediata y no negociable para administradores afectados es actualizar a la versión parcheada 3.4.2 publicada el 12 de mayo de 2026 o, si no es posible actualizar de inmediato, desactivar el plugin hasta aplicar el parche. Las estadísticas de WordPress que acompañan la publicación muestran decenas de miles de instalaciones que ya descargaron la versión corregida, pero aún quedan muchos sitios potencialmente expuestos: la página del plugin en el repositorio oficial documenta la información de descargas y versiones: Burst Statistics – WordPress.org.

Si existe la menor sospecha de que su sitio fue comprometido, actúe como si estuviera comprometido: ponga la web en mantenimiento o a nivel de acceso restringido, revise el listado de usuarios desde el panel y mediante la base de datos para detectar cuentas administrativas nuevas o desconocidas y elimínelas, inspeccione archivos y directorios en busca de backdoors y cambios recientes, compare con respaldos limpios y considere restaurar desde una copia anterior verificada. Es crucial también rotar credenciales de administradores y contraseñas de base de datos, regenerar las claves y sales de WordPress, y revisar registros de acceso web y logs de PHP para determinar la ventana de compromiso.

Para reducir el riesgo futuro, aplique medidas de endurecimiento: limite el acceso a la API REST cuando no sea necesaria, implemente autenticación de dos factores en cuentas de alto privilegio, imponga contraseñas robustas y nombres de usuario no triviales, retire plugins y temas sin uso, y despliegue un firewall a nivel de aplicación o proveedor de hosting que pueda bloquear intentos masivos de explotación. La guía oficial de endurecimiento de WordPress es un buen punto de partida: Hardening WordPress – WordPress.org.

Finalmente, documente el incidente y, si no dispone de experiencia interna suficiente, contacte con el proveedor de hosting o un equipo de respuesta a incidentes para realizar un análisis forense, contener y erradicar cualquier persistencia. Actualizar ahora mismo sigue siendo la acción más eficaz para cortar la campaña en curso; posponer la actualización aumenta drásticamente la probabilidad de sufrir una intrusión que requiera horas de limpieza y potencial pérdida de datos o reputación.