WordPress, Joomla y Craft CMS: hackers explotan 15 vulnerabilidades para atacar masivamente sitios en todo el mundo

Los atacantes están comprometiendo sitios web a gran escala en todo el mundo e instalan en los servidores herramientas ocultas para controlarlos de forma remota. La campaña ya ha afectado a numerosas pequeñas y medianas empresas en Australia; sin embargo, los ataques no se limitan a un solo país.

El Centro de Ciberseguridad de Australia informó que los atacantes escanean automáticamente sitios web en busca de sistemas de gestión de contenidos y complementos vulnerables. Los fallos encontrados permiten subir archivos sin autorización, ejecutar comandos en el servidor, enviar peticiones en su nombre o procesar datos especialmente diseñados.

Una vez que el sitio ha sido comprometido, los atacantes instalan webshells, que ofrecen acceso remoto persistente al servidor. A través de ellos, los delincuentes pueden modificar o dejar fuera de servicio los sitios, interceptar contraseñas introducidas por visitantes, robar datos almacenados, cargar software malicioso y usar el servidor como punto de entrada a la red interna de la empresa.

En la campaña se explotan vulnerabilidades en los siguientes programas y complementos:

Simple File List para WordPress – CVE-2020-36847 (9.8 Crítica). La CVE-2025-34085 citada en el aviso fue desestimada como duplicado de esta vulnerabilidad;
WavePlayer para WordPress – CVE-2025-12057 (9.8 Crítica);
BerqWP para WordPress – CVE-2025-7443 (8.1 Alta);
WPBookit para WordPress – CVE-2025-7852 (9.8 Crítica);
Ninja Forms File Uploads para WordPress – CVE-2026-0740 (9.8 Crítica);
ThemeREX Addons para WordPress – CVE-2026-1969 (9.8 Crítica);
Breeze Cache para WordPress – CVE-2026-3844 (9.8 Crítica);
pay-uz para WordPress – CVE-2026-31843 (10.0 Crítica);
Advanced Custom Fields: Extended para WordPress – CVE-2025-13486 (9.8 Crítica);
Sneeit Framework para WordPress – CVE-2025-6389 (9.8 Crítica);
WPvivid Backup & Migration para WordPress – CVE-2026-1357 (9.8 Crítica);
Gravity Forms para WordPress – CVE-2025-12352 (9.8 Crítica);
GutenKit y Hunk Companion para WordPress – CVE-2024-9234 (9.8 Crítica). El Centro de Ciberseguridad de Australia considera probable la relación de los ataques con esta vulnerabilidad;
Craft CMS – CVE-2025-32432 (9.8 Crítica);
MaxSite CMS – CVE-2026-3395 (7.3 Alta);
MetInfo CMS – CVE-2026-29014 (9.8 Crítica);
Joomla Content Editor – CVE-2026-48907 (10.0 Crítica).

Los especialistas australianos recomiendan comprobar los directorios de los sitios y los complementos en busca de archivos desconocidos o modificados recientemente, y revisar los registros de acceso en busca de solicitudes GET y POST sospechosas. Un servidor en el que se detecte una webshell debe considerarse totalmente comprometido; aislarlo de la red y verificar si han aparecido nuevas cuentas o software malicioso, si los atacantes intentaron extraer datos o si se movieron lateralmente entre sistemas.

También se aconseja a los administradores revisar entradas anteriores en los registros para encontrar las peticiones que pudieron permitir a los atacantes comprometer inicialmente el sitio y cargar la webshell. Los registros de red y de los cortafuegos ayudarán a detectar conexiones del servidor infectado con direcciones externas.

Hay que actualizar los componentes vulnerables y desactivar temporalmente los complementos que no tienen correcciones. Después de eliminar o aislar los archivos maliciosos, no se debe reconectar el servidor a la red hasta haberlo inspeccionado por completo. Si el sitio fue comprometido, se recomienda restaurarlo desde una copia de seguridad reciente y conocida como limpia.

Para protegerse adicionalmente, a las organizaciones se les propone prohibir la escritura en los directorios del sitio donde no debe producirse ningún cambio, restringir el acceso a archivos y rutas, controlar qué procesos hijos inicia el servidor web y separar los sitios públicos de la red corporativa. Si las correcciones se instalan automáticamente, eso también puede reducir el tiempo durante el cual el sitio permanece vulnerable.

Si no es posible prohibir por completo la creación de archivos, los administradores aconsejan controlar cualquier cambio que vaya más allá de los trabajos autorizados. Ese enfoque ayuda a detectar la webshell más rápido y a reducir el tiempo que permanece activa en el servidor comprometido.