Vulnerabilidad crítica en User Registration y Membership permite crear cuentas de administrador sin autenticación y comprometer sitios WordPress

Una falla grave en el plugin User Registration & Membership, desarrollado por WPEverest y presente en decenas de miles de sitios WordPress, está siendo aprovechada por atacantes para tomar el control de páginas web. El problema, identificado como CVE-2026-1492 y calificado con una puntuación de severidad crítica de 9.8, permite a un actor malintencionado crear cuentas con privilegios de administrador sin necesidad de autenticarse, aprovechando que el plugin acepta el rol del usuario suministrado durante el proceso de registro.

Ese vector es especialmente peligroso porque una cuenta de administrador en WordPress no es una simple cuenta con más opciones de edición: otorga la capacidad de instalar y eliminar plugins y temas, ejecutar o modificar código PHP, alterar configuraciones de seguridad, suprimir cuentas legítimas y cambiar contenido. Con ese control, un atacante puede extraer bases de datos de usuarios, insertar puertas traseras y código malicioso para distribuir malware o montar infraestructura de control, almacenamiento de datos robados o proxys para tráfico ilícito.

Los datos públicos recogidos por investigadores muestran actividad de explotación activa. La firma Defiant, creadora del plugin de seguridad Wordfence, registró y bloqueó más de 200 intentos de explotación en entornos de clientes durante las últimas 24 horas. El alcance aumenta la urgencia de actuar: el plugin afectado tiene presencia en más de 60.000 instalaciones según su ficha pública, lo que convierte a muchos sitios en potenciales objetivos si no se parchean.

Los responsables del plugin publicaron una corrección que cierra la vulnerabilidad original. Las versiones hasta la 5.1.2 están afectadas; el problema fue abordado inicialmente en la versión 5.1.3 y desde entonces se recomienda actualizar a la versión más reciente disponible (en el momento del aviso, la 5.1.4). Puedes verificar la información oficial y descargar la actualización desde el repositorio de WordPress en la página del proyecto: User Registration en WordPress.org, y consultar la documentación del desarrollador en WPEverest.

Si no te es posible aplicar la actualización de inmediato, la alternativa recomendada por los especialistas es desactivar temporalmente o eliminar el plugin hasta que puedas instalar la versión corregida. Esta es una medida preventiva sencilla que evita que una interfaz vulnerable esté disponible públicamente para explotadores automáticos o manuales.

Además de aplicar el parche o desactivar el plugin, conviene realizar una revisión proactiva del sitio. Comprueba el listado de usuarios y elimina cuentas administrativas desconocidas; inspecciona los logs de acceso y de registro para detectar picos inusuales de actividad o registros de creación de usuarios; ejecuta un escaneo con soluciones de seguridad para WordPress y, si existe la menor sospecha de compromiso, restaura desde una copia de seguridad limpia y rota las credenciales y claves de API asociadas. Para pautas generales de fortalecimiento y buenas prácticas puedes consultar la guía oficial de endurecimiento de WordPress: Hardening WordPress, y la explicación de roles y capacidades para saber qué revisar en los permisos: Roles y capacidades.

Este incidente encaja en una tendencia más amplia: los plugins siguen siendo un vector preferido por los atacantes para lograr escalado de privilegios o ejecución remota. Durante los últimos meses se han publicado y explotado varias vulnerabilidades críticas en complementos populares que permitieron desde la obtención de acceso administrativo hasta la ejecución de código a distancia. En enero de 2026, por ejemplo, se documentó otra explotación activa que permitía acceso de administrador en sitios vulnerables a través de un fallo máximo en el plugin Modular DS (CVE-2026-23550), lo que subraya la necesidad de mantener un ciclo de actualización y monitorización constante.

Si eres administrador de una web, la regla práctica es simple: actualiza ahora y verifica el estado del sitio. Si gestionas múltiples instalaciones, programa actualizaciones automáticas para componentes críticos o aplica controles que limiten la exposición de páginas de registro públicas. Para equipos que ofrecen servicios web a terceros, informa a los clientes con prontitud y comparte las instrucciones claras para mitigar el riesgo.

La buena noticia es que, siempre que se instale la versión parcheada, la vulnerabilidad queda solucionada. La mala noticia es que los atacantes no esperan: explotan rápidamente agujeros conocidos, sobre todo cuando estos permiten crear administradores sin autenticación. Mantener plugins actualizados, combinar esto con copias de seguridad regulares y una solución de seguridad que detecte comportamiento anómalo son medidas sencillas que reducen de forma significativa el riesgo de verse comprometido.