CVE-2026-1357 -- WPvivid RCE

Ejecución remota de código (RCE) no autenticada en WPvivid Backup & Migration

800%2C000-brightgreen?style=for-the-badge" alt="Installs">

Vulnerabilidad crítica que afecta a más de 800 000–900 000+ sitios WordPress
Subida arbitraria de PHP no autenticada → compromiso total del servidor

---

🌩️ Descripción general

CVE-2026-1357 (CVSS 9.8 – Crítico) afecta al plugin Migration, Backup, Staging – WPvivid Backup & Migration (≤ 0.9.123).

• Plugin → WPvivid Backup & Migration
• Versiones afectadas → ≤ 0.9.123
• Versión corregida → 0.9.124 (publicada ~28 de enero de 2026)
• Vector de ataque → Red
• Complejidad → Baja
• Privilegios requeridos → Ninguno
• Interacción del usuario → Ninguna
• Impacto → Ejecución remota de código (alto impacto en confidencialidad, integridad y disponibilidad)

La vulnerabilidad reside en la función opcional del plugin "recibir copia de seguridad desde otro sitio" (a través de wpvivid_action=send_to_site). Cuando está habilitada, un atacante no autenticado puede subir archivos arbitrarios —siendo los más peligrosos los webshells PHP— a ubicaciones accesibles desde la web, como /wp-content/uploads/.

🛠️ Causa raíz (vulnerabilidades encadenadas)

→ El atacante crea un payload cifrado con la clave nula → elude la "autenticación" → escribe un archivo .php en cualquier ubicación escribible.

🔥 Impacto

• Ejecución remota de código no autenticada como usuario del servidor web (normalmente www-data)
• Compromiso total del sitio: backdoors, exfiltración de datos, ransomware, defacement
• Los PoC públicos aparecieron poco después de la divulgación (febrero de 2026)
• Alto riesgo en el mundo real debido a la facilidad de explotación y a la gran base de instalaciones

Nota: La explotación requiere que la función "recibir copia de seguridad" esté habilitada (no es la opción predeterminada) y un token de API válido/no caducado (vigencia máxima de 24 horas).

📅 Cronología

🛡️ Mitigación y endurecimiento

Acción inmediata
Actualiza a WPvivid Backup & Migration ≥ 0.9.124 (correcciones: manejo adecuado de los fallos de descifrado, saneamiento de nombres de archivo y restricciones de tipos de archivo).

Mitigaciones temporales (si la actualización se retrasa):

• Desactiva "Recibir copia de seguridad desde otro sitio" en la configuración del plugin
• Desactiva / elimina el plugin si no es necesario
• Bloquea los POST a /wp-admin/admin-ajax.php con action=wpvivid_send_to_site (mediante WAF / .htaccess)

Comprobaciones posteriores al incidente

• Busca archivos .php sospechosos en /wp-content/uploads/ (y otros directorios escribibles)
• Revisa los logs de acceso en busca de POST anómalos a admin-ajax.php
• Escanea en busca de webshells, rota las credenciales y restaura desde una copia de seguridad limpia si hubo compromiso

Buenas prácticas generales

• Mantén actualizados el núcleo de WordPress, los temas y los plugins
• Usa plugins de seguridad (Wordfence, Sucuri, etc.)
• Limita los permisos de archivos; desactiva XML-RPC si no se usa

🔗 Referencias

• Entrada oficial de NVD

• Aviso de Wordfence (divulgación detallada)

• Página del plugin

• Plantilla de Nuclei: oficial en projectdiscovery/nuclei-templates (añadida en v10.4.0)

---

_{Parchea pronto • Parchea a menudo • Mantente seguro}