Dos graves incidentes de seguridad han sacudido el ecosistema de WordPress en las últimas semanas, afectando potencialmente a más de un millón de sitios web. Por un lado, una vulnerabilidad de ejecución remota de código en el popular plugin Everest Forms Pro está siendo explotada activamente para secuestrar servidores. Por otro, un ataque a la cadena de suministro ha comprometido tres plugins de Awesome Motive, inyectando puertas traseras ocultas en hasta 1.2 millones de sitios.
CVE-2026-3300: El agujero en Everest Forms Pro
La primera amenaza, identificada como CVE-2026-3300, afecta a todas las versiones del plugin Everest Forms Pro hasta la 1.9.12 inclusive. Este plugin de creación de formularios, desarrollado por WPEverest, cuenta con unas 4.000 instalaciones activas. La vulnerabilidad, descubierta por un investigador conocido como h0xilo a través del programa de recompensas por bugs de Wordfence, ostenta una puntuación de 9.8 sobre 10 en la escala CVSS, lo que la califica como crítica.
El fallo reside en el add-on de Cálculos del plugin. Cuando un formulario tiene activada la función de «Cálculo Complejo», el plugin utiliza la función eval() de PHP para procesar las fórmulas. El problema es que la función sanitize_text_field() no escapa las comillas simples. Un atacante puede introducir una comilla simple en un campo de texto, correo electrónico, URL o selección, «escapando» de la cadena de texto e inyectando código PHP malicioso que eval() ejecutará sin piedad.
Explotación Activa y la Cuenta «diksimarina»
La explotación masiva comenzó el 13 de abril de 2026, aproximadamente dos semanas después de la divulgación pública del fallo. Según la telemetría de Wordfence, su firewall ha bloqueado más de 29.300 intentos de explotación. El pico se produjo el 16 de mayo, con más de 17.900 ataques en un solo día.
El payload más común intenta crear una cuenta de administrador no autorizada con el nombre «diksimarina» y el correo electrónico diksimarina@gmail.com. Los administradores deben revisar sus registros en busca de actividad sospechosa, especialmente solicitudes provenientes de la dirección IP 202.56.2.126, origen de más de 26.300 de los intentos bloqueados.
WPEverest lanzó un parche en la versión 1.9.13 del plugin. Cualquier sitio que ejecute una versión anterior está en riesgo y debe actualizarse de inmediato si no quiere ser víctima de un secuestro total del sitio.
Ataque a la Cadena de Suministro de Awesome Motive
El segundo incidente, destapado por la firma de investigación de malware neerlandesa Sansec, es un ataque a la cadena de suministro que ha comprometido OptinMonster, TrustPulse y PushEngage, tres plugins propiedad de Awesome Motive. A diferencia de un ataque tradicional, el código malicioso no residía en el servidor de la víctima, sino que se servía directamente desde la red de distribución del propio proveedor.
El script malicioso permanecía inactivo hasta que un administrador, tras iniciar sesión, cargaba una página del sitio. En ese momento, el código creaba una cuenta de administrador oculta, instalaba un plugin backdoor que se escondía a sí mismo y enviaba las credenciales a un servicio de chat fraudulento que suplanta a tidio.com.
La ventana de exposición fue corta: Sansec detectó el código manipulado en OptinMonster y TrustPulse durante aproximadamente media hora la noche del 12 de junio. Sin embargo, el script malicioso en PushEngage seguía activo al día siguiente, 13 de junio. El punto de entrada del atacante sigue sin confirmarse, barajándose la posibilidad de que los propios servidores de Awesome Motive, su cuenta de CDN o la red BunnyNet fueran el origen.
Aunque Awesome Motive gestiona plugins con decenas de millones de instalaciones, como WPForms (más de 6 millones) o All in One SEO (3 millones), solo los tres mencionados están confirmados como comprometidos. Sansec insta a cualquier usuario de plugins de Awesome Motive a estar alerta ante cuentas de administrador desconocidas y tráfico hacia tidio[.]cc.









