Vulnerabilidad crítica en Acadlix LMS para WordPress (CVE-2026-103882)

Qué es y a quién afectaEl plugin Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin para WordPress arrastra un fallo grave de seguridad iden...

Qué es y a quién afecta

El plugin Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin para WordPress arrastra un fallo grave de seguridad identificado como CVE-2026-103882. Según la descripción publicada en la National Vulnerability Database (NVD) del NIST, el problema está en la función post_delete_assessment_file_by_id, que no valida correctamente las rutas de archivo. El resultado: un atacante puede eliminar archivos arbitrarios del servidor.

La vulnerabilidad afecta a todas las versiones hasta la 1.1.9, incluida. Está clasificada como CWE-22 (salto de ruta) y tiene una puntuación CVSS 3.1 de 9.1, gravedad CRITICAL. El vector (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H) indica que se puede explotar por red, sin autenticación previa y sin interacción del usuario.

El detalle que agrava la situación es el control de permisos: la ruta REST del plugin solo comprueba un nonce genérico wp_rest que el propio plugin publica en el objeto JavaScript acadlixOptions en todas las páginas del frontend. En la práctica, eso rebaja el requisito de autenticación a prácticamente ninguno. Aunque la descripción original habla de atacantes autenticados con nivel de suscriptor o superior, el nonce expuesto hace que el umbral real sea muy bajo.

¿A quién le toca revisarlo? A cualquier web WordPress en España que use Acadlix LMS para cursos, exámenes o formación online: academias, centros de formación, consultoras, empresas con portal de e-learning o comercios que venden cursos. Si tu web está en Lleida, Barcelona, Tarragona, Girona o en cualquier punto del país y tienes este plugin activo, conviene actuar sin esperar.

Por qué es urgente

Este CVE no consta en el catálogo KEV de CISA, así que no hay constancia pública de que se esté explotando en ataques reales y no existe un plazo obligatorio de mitigación marcado por la agencia estadounidense. Eso no significa que puedas dormirte: la combinación de acceso sin autenticación, explotación por red y ausencia de interacción del usuario convierte este fallo en un objetivo muy atractivo para escaneos automatizados.

El impacto no se queda en perder un archivo suelto. Si el atacante acierta al borrar archivos sensibles como wp-config.php, la web puede quedar inoperativa o abrir la puerta a una ejecución remota de código. Hablamos de caídas del sitio, pérdida de datos, interrupción del negocio y, en el peor escenario, un servidor comprometido. Para una pyme o un comercio online, eso se traduce en ventas perdidas, clientes sin servicio y posibles obligaciones de notificación bajo el RGPD y la LOPDGDD si se ven afectados datos personales.

La fecha de publicación en NVD es el 31 de octubre de 2026. Cuanto antes compruebes tu instalación, mejor: los fallos críticos con requisitos de autenticación tan bajos suelen ser rastreados por bots en cuestión de días.

Qué hacer hoy

Comprueba si usas el plugin y en qué versión. Entra en el panel de WordPress y revisa la ficha de Acadlix LMS. Si estás en la 1.1.9 o anterior, estás expuesto.
Aplica la actualización o mitigación del aviso del fabricante. Consulta la ficha del plugin y las referencias oficiales publicadas para este CVE y sigue las indicaciones del desarrollador. No des por hecho qué versión lo corrige: verifica siempre el aviso oficial antes de dar el problema por cerrado.
Revisa indicios de intrusión. Busca archivos que hayan desaparecido sin explicación, errores extraños en el arranque de WordPress, cambios no autorizados o actividad sospechosa en los registros del servidor. Si detectas algo, no lo borres a ciegas: conserva las evidencias.
Reduce lo expuesto a internet. Restringe el acceso al panel de administración por IP o con doble factor, limita los plugins activos a los imprescindibles y mantén al día el núcleo de WordPress, los temas y el resto de extensiones.
Refuerza las copias de seguridad. Ten backups recientes y verificados, guardados fuera del servidor, para poder restaurar la web si algo se borra.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas con webs WordPress, PrestaShop o Joomla que no siempre tienen un departamento de IT a jornada completa. Nuestro enfoque es detectar y cerrar vulnerabilidades antes de que alguien las explote: auditorías de seguridad y pentesting para saber qué hay expuesto, hardening de servidores para reducir la superficie de ataque y monitorización continua con respuesta a incidentes cuando aparece algo raro.

También nos ocupamos del mantenimiento y la actualización de WordPress, PrestaShop y Joomla, revisando plugins como Acadlix LMS y aplicando los parches de seguridad en cuanto el fabricante los publica. Y si tu web ya ha sido hackeada o presenta síntomas de manipulación, nos encargamos de la reparación, la limpieza y la puesta en marcha de nuevo con garantías.

Si gestionas una web con formación online y quieres saber si este CVE te afecta, lo más sensato es revisarlo cuanto antes y dejar el sitio en un estado seguro.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.