Publicado el 14 octubre 2026 · Equipo mitza.es
En la primera semana de octubre de 2026, la firma de seguridad Patchstack ha detectado explotación activa de fallos en tres plugins de WordPress. Dos de ellos, Ninja Forms y WPC Product Bundles for WooCommerce, forman parte de una misma campaña que deja puertas traseras en la web. El tercero, Bricksforge, permite ejecutar código sin siquiera iniciar sesión. Ninja Forms tiene más de 500.000 instalaciones activas, así que no es un plugin de nicho: muchas webs de pymes lo usan para el formulario de contacto.
Ninja Forms y WPC Product Bundles: una campaña que deja administradores ocultos
Los dos fallos son de tipo cross-site scripting almacenado y gravedad alta: CVE-2026-94504 en Ninja Forms (versiones 3.15.3 y anteriores, corregido en la 3.15.4) y CVE-2026-93836 en WPC Product Bundles (versiones 8.6.6 y anteriores, corregido en la 8.6.7, con más de 30.000 instalaciones). Patchstack vio la actividad contra WPC Product Bundles el 4 de octubre y contra Ninja Forms al día siguiente; BleepingComputer lo publicó el 6.
El ataque funciona así: el atacante deja un fragmento de JavaScript malicioso en los datos de un pedido de WooCommerce o en el envío de un formulario de Ninja Forms. No pasa nada hasta que un administrador con la sesión iniciada abre ese contenido en el panel. En ese momento el script se ejecuta con los permisos del administrador, instala un plugin falso llamado «WP Smart Thumbnails» (versión 1.2.4, de «MediaPress Labs») y crea cuentas de administrador. Como el código malicioso llega desde el mismo dominio en ambos casos, BleepingComputer lo atribuye a un único actor. Patchstack describe la explotación como limitada por ahora.
Lo más incómodo es que cada ataque deja varias vías de regreso: una cuenta de administrador visible, otra oculta, una URL de acceso secreta que entra como el administrador más antiguo y un gestor de archivos sin autenticación dentro del plugin falso. Por eso BleepingComputer insiste en que actualizar impide nuevas infecciones pero no limpia una web que ya está comprometida.
Bricksforge: subida de archivos sin autenticación y CVSS 10
CVE-2026-85097 afecta a las versiones 3.1.8.9 y anteriores de Bricksforge, un complemento para el constructor Bricks, y se corrige en la 3.1.8.10. Un atacante sin cuenta puede subir un archivo disfrazado de imagen que en realidad contiene código PHP y ejecutarlo en el servidor. Patchstack lo puntúa con CVSS 10,0 (SecurityWeek lo sitúa en 9,8) y registró los primeros intentos de explotación el 7 de octubre de 2026, a las 21:47 UTC, con tráfico automatizado procedente de 63 direcciones IP distintas.
SecurityWeek estima que el plugin se usa en unas 6.000 webs, una cifra mucho menor que la de Ninja Forms, pero la gravedad del fallo y la rapidez del ataque justifican la urgencia. Patchstack ha publicado además una regla de mitigación para quien no pueda actualizar de inmediato.
Cómo saber si tu web está afectada
- Mira en el panel de plugins qué versiones tienes de Ninja Forms, WPC Product Bundles y Bricksforge, y compáralas con las corregidas.
- Busca el plugin «WP Smart Thumbnails» 1.2.4: no debería estar en tu instalación.
- Revisa los administradores, pero no solo en la pantalla Usuarios del panel, porque una de las cuentas puede estar oculta: comprueba también la tabla de usuarios directamente en la base de datos.
- Si usas Bricksforge, busca archivos PHP inesperados en la carpeta de subidas de WordPress, en especial en
/wp-content/uploads/bricksforge/tmp/y archivos llamadoslogin_admin_*.php. - Revisa también la carpeta
wp-content/mu-plugins: cualquier archivo que no hayas puesto tú merece una explicación.
Si encuentras algo, actualizar no basta. Lo prudente es restaurar una copia anterior al 4 de octubre, cambiar las contraseñas de todos los administradores, empezando por la del más antiguo, y renovar las claves de seguridad de wp-config.php. Si no tienes una copia limpia, conviene que lo revise alguien con experiencia antes de dar la web por recuperada.
Por qué los plugins son el eslabón débil de WordPress
Este patrón se repite. El mes pasado el propio núcleo de WordPress tuvo su aviso con el fallo crítico CVE-2026-87902, y a principios de septiembre cubrimos la vulnerabilidad crítica de Elementor Pro. Cada plugin es código de terceros con su propio calendario de parches, y cuanto más tarda una web en actualizar, más tiempo queda expuesta a un fallo que ya tiene solución publicada.
Qué hacer a partir de hoy
Actualiza los tres plugins si los usas y desactiva y elimina los que no necesites: un plugin que no está instalado no se puede atacar. Si prefieres no ocuparte tú, nuestro servicio de mantenimiento web se encarga de las actualizaciones, las copias de seguridad y la vigilancia, y en la guía de qué incluye un plan de mantenimiento explicamos cómo comparar propuestas. Para una revisión puntual de una web que te preocupa, nuestra auditoría de seguridad web comprueba plugins, usuarios y configuración, y si tu web depende de demasiados complementos, también podemos plantear un desarrollo a medida con menos piezas de terceros.