Cómo un error crítico de WordPress cero día se activó en horas y revela una brecha acelerada

La brecha de velocidad es real

WordPress publicó un parche para CVE-2026-87902 el 22 de septiembre de 2026. Para las 11:49 a. m. UTC del mismo día, ya se había registrado el primer intento de explotación. El plazo entre una reparación pública y un ataque en activo se ha reducido de días —a veces semanas— a horas, y el seguimiento del incidente por esta falla ofrece una de las imágenes más claras hasta ahora de cómo ocurre esa compresión.

Se trata de una vulnerabilidad crítica con puntuación CVSS 9.2 que permite a un atacante no autenticado lograr ejecución remota de código en un sitio de WordPress. Dos condiciones deben coincidir para que la explotación tenga éxito: el tema activo o el tema hijo debe contener un directorio de nivel superior cuyo nombre comience con “page-”, y el servidor debe tener un archivo .php local legible al que un atacante pueda hacer referencia. Pearcmd.php en /usr/local/lib/php/ es uno de esos archivos que ha aparecido repetidamente en la naturaleza.

Cuando se cumplen esas condiciones, la cadena de explotación funciona así. El atacante activa una función de resolución de plantillas de página para incluir un archivo PHP arbitrario en el servidor. Luego, ese archivo se usa para escribir una nueva carga útil PHP en /tmp/ o /var/tmp/. Una solicitud posterior incluye una webshell alojada en GitHub, lo que le da al atacante acceso persistente al sitio comprometido.

Cómo se desarrolló el ataque

La telemetría de Previdian registró 68 intentos de explotación que comenzaron el 23 de septiembre, originados desde direcciones IP que incluyen una en Nueva Jersey y otra en Indonesia. Patchstack confirmó de forma independiente que las solicitudes maliciosas habían escalado desde exploraciones de reconocimiento contra archivos centrales inofensivos hasta explotación activa que involucraba pearcmd.php y escrituras de archivos en disco.

Los nombres de los archivos escritos durante estos ataques cuentan su propia historia: wp-pear-rce-flag.php, poc87902.php, luci con sufijos aleatorios, zeta con sufijos aleatorios. Estos no son experimentos dispersos. Indicancampañas coordinadas impulsadas por herramientas que avanzan por un Pipeline definido: explorar, escribir, encadenar, persistir.

Las IPs involucradas abarcan múltiples proveedores de alojamiento y geografías, lo cual es coherente con el tipo de infraestructura distribuida que los atacantes utilizan rutinariamente. Lo que destaca no es ninguna fuente individual, sino la velocidad de toda la operación.

Las precondiciones importan, pero no son un escudo

Ryan Dewhurst, fundador y CEO de Previdian, señaló que las dos precondiciones hacen que la explotación sea menos probable que una RCE no autenticada típica. Esa evaluación es precisa, y merece matices.

Una gran parte de las instalaciones de WordPress tienen actualizaciones automáticas activadas de forma predeterminada, lo que significa que los sitios que ejecutan versiones menores recientes están protegidos independientemente de si un operador aplica el parche manualmente. Los sitios más en riesgo son aquellos que ejecutan versiones antiguas sin soporte, o sitios donde el tema mismo contiene un directorio con el prefijo “page-” en su nombre, un patrón de nomenclatura no infrecuente tanto en temas personalizados como de terceros.

La precondición de pearcmd.php también vale la pena examinarla en contexto. Ese archivo se incluye con el paquete PEAR de PHP, que se instala de forma predeterminada en muchas distribuciones de Linux, particularmente aquellas que usan gestores de paquetes más antiguos. Un servidor que ejecuta una pila LAMP estándar en un entorno de alojamiento compartido es mucho más propenso a tener pearcmd.php presente que un VPS endurecido o un proveedor de alojamiento WordPress gestionado en la nube. Esa inclinación significa que la vulnerabilidad amenaza desproporcionadamente a los sitios en alojamiento compartido e infraestructura heredada: exactamente el segmento de la web que tiende a parchearse más lentamente.

Lo que esto significa más allá de WordPress

WordPress potencia aproximadamente el 40 % de internet. Incluso cuando una vulnerabilidad requiere precondiciones para explotarse, la escala de la base instalada significa que la superficie de ataque es enorme. Cada sitio sin parchear que coincide con las condiciones se convierte en un posible punto de entrada, y los sitios de WordPress comprometidos se utilizan rutinariamente para phishing, distribución de malware y reclutamiento de botnets: a menudo con consecuencias que se extienden muy más allá del propietario original.

El efecto de segunda orden de este incidente es la señal que envía sobre el estado actual de la respuesta a vulnerabilidades. Cuando una falla crítica pasa de la divulgación a la explotación activa en horas, la antigua suposición de que los operadores tienen un período de gracia de varios días para probar y aplicar parches ya no se sostiene. Para los sitios de alto riesgo, el plazo práctico de respuesta puede medirse en minutos después de la publicación de un parche.

Esa compresión también plantea preguntas sobre cómo debería evolucionar la propia divulgación de vulnerabilidades. El modelo actual —divulgar, parchear, esperar que los operadores apliquen la corrección a tiempo— asume un ritmo que el panorama de amenazas ya ha superado. Las herramientas automatizadas de explotación avanzan más rápido que los procesos manuales de gestión de parches, y este incidente es una demostración en vivo de la brecha.

Qué deben hacer los operadores de sitios ahora

WordPress ha publicado parches en sus ramas soportadas: las versiones 7.1.2, 7.0.6, 6.9.9 y 6.8.10. Cualquier sitio que ejecute una de estas versiones debe verificar que el último parche esté aplicado. Los sitios en versiones sin soporte deberían planificar inmediatamente una ruta de actualización.

Los operadores también deben auditar sus instalaciones de WordPress por dos indicadores específicos. Primero, verificar si algún tema activo contiene un directorio cuyo nombre comience con “page-”. Segundo, comprobar si pearcmd.php o archivos PHP invocables similares existen en rutas accesibles en el servidor. Si alguna de las dos condiciones está presente, el sitio debe tratarse como en riesgo hasta que la versión de WordPress se actualice o la configuración cambie.

Una auditoría postexplotación es igualmente importante. Buscar archivos modificados recientemente en /tmp/ y /var/tmp/ con nombres sospechosos. Buscar archivos PHP desconocidos que puedan haberse dejado caer por la cadena de explotación. Revisar los registros de inicio de sesión de WordPress por acceso no autorizado. Y escanear conexiones salientes hacia dominios maliciosos conocidos, particularmente URLs de contenido crudo de GitHub utilizadas para alojar webshells.

La imagen más amplia

CVE-2026-87902 eventualmente pasará a segundo plano en los titulares. Fue una falla seria, pero requería precondiciones y apuntaba a un subconjunto bien definido de instalaciones. El patrón que reveló, sin embargo, no es transitorio. La velocidad a la que una vulnerabilidad crítica fue weaponizada —horas, no días— refleja una aceleración más amplia en las capacidades de los atacantes hacia la cual la industria de la seguridad ha estado avanzando pero aún no se ha adaptado completamente.

Para los operadores de sitios WordPress, la conclusión inmediata es sencilla: parchear ahora, auditar los nombres de los directorios de sus temas y asumir que la ventana entre la divulgación y la explotación es más estrecha de lo que piensan. Todo el ecosistema necesita comprender qué ocurre cuando quienes escriben las correcciones están consistentemente compitiendo contra quienes escriben las explotaciones, y estos últimos ya han ganado la carrera de velocidad.