Atacan webs WordPress con fallos de Ninja Forms y un plugin de WooCommerce

Qué ha pasado

Patchstack, empresa de seguridad para WordPress, ha detectado ataques reales que aprovechan dos fallos de tipo XSS almacenado en dos plugins distintos: Ninja Forms (CVE-2026-94504), instalado en más de 500.000 webs, y WPC Product Bundles for WooCommerce (CVE-2026-93836), con más de 30.000 instalaciones. Los primeros ataques se vieron el 4 de octubre contra el plugin de WooCommerce y al día siguiente contra Ninja Forms. BleepingComputer lo publicó el 6 de octubre.

El método es ingenioso: el atacante deja un script malicioso dentro de un envío de formulario o de los datos de un pedido. Cuando un administrador abre ese contenido en el panel, el script se ejecuta con su sesión y, usando funciones legítimas de WordPress, instala un plugin falso llamado «WP Smart Thumbnails» y crea cuentas de administrador.

El resultado son cuatro vías de entrada: un administrador visible, otro oculto, una dirección secreta de acceso que entra como el administrador más antiguo y un gestor de archivos sin contraseña. Borrar el plugin falso no basta, porque las otras puertas siguen abiertas. Patchstack dice que, por ahora, la explotación es limitada.

Las versiones afectadas son Ninja Forms 3.15.3 o anteriores y WPC Product Bundles 8.6.6 o anteriores. Las corregidas son la 3.15.4 y la 8.6.7.

Por qué le importa a tu empresa

Un formulario de contacto o una tienda son justo lo que tiene casi cualquier web de pyme. Y aquí el ataque no necesita adivinar contraseñas: le basta con que alguien de la empresa haga su trabajo normal, revisar los mensajes o los pedidos. Con un administrador oculto, el atacante puede cambiar la web, robar datos de clientes o usarla para engañar a terceros, y tú no lo verías en la lista de usuarios.

Mi opinión

Este caso deja dos lecciones claras. La primera, que actualizar plugins no es opcional ni algo «para cuando haya tiempo»: entre que se publica un fallo y se explota pasan cada vez menos días. La segunda, que actualizar no limpia. Si tu web ya fue atacada, la nueva versión cierra la puerta para el futuro, pero no echa a quien ya entró.

También me parece buena práctica no usar una cuenta de administrador para tareas del día a día como leer formularios o gestionar pedidos; WordPress y WooCommerce permiten roles con menos permisos. En XEVIA revisamos las versiones de plugins de cada web que analizamos precisamente por casos como este.

Qué hacer hoy

• Si usas Ninja Forms o WPC Product Bundles, actualiza a la última versión disponible (como mínimo, 3.15.4 y 8.6.7; ya hay versiones posteriores con más correcciones).
• Revisa la lista de usuarios administradores y borra los que no reconozcas; si puedes, mira también la tabla de usuarios en la base de datos.
• Busca un plugin llamado «WP Smart Thumbnails», archivos raros en wp-content/mu-plugins o cualquier plugin que no hayas instalado tú.
• Usa un rol con menos permisos (por ejemplo, gestor de tienda o editor) para leer formularios y pedidos.
• Si encuentras rastros, cambia todas las contraseñas de administrador (empezando por la del más antiguo) y las claves de seguridad de wp-config, y pide una revisión completa.