Snazzy Social Media Feed (WordPress): vulnerabilidad crítica CVE-2026-110002

Qué es y a quién afectaEl plugin Snazzy Social Media Feed para WordPress arrastra una vulnerabilidad de carga arbitraria de archivos identificada como...

Qué es y a quién afecta

El plugin Snazzy Social Media Feed para WordPress arrastra una vulnerabilidad de carga arbitraria de archivos identificada como CVE-2026-110002. Según la descripción publicada en la National Vulnerability Database (NVD) del NIST, el fallo afecta a todas las versiones hasta la 2.5 inclusive, es decir, a cualquier instalación que no haya ido más allá de esa versión.

El origen está en el script independiente save-to-cache.php, que se puede invocar directamente sin cargar el núcleo de WordPress. Ese script no aplica las comprobaciones habituales de autenticación, capacidades ni nonce, y tampoco sanea de forma suficiente el parámetro pluginURL antes de escribirlo en un archivo PHP ejecutable. El único filtro aplicado, FILTER_SANITIZE_URL, conserva los caracteres necesarios para construir una carga PHP válida, que acaba volcada tal cual en cached-content/cached-feed.php y se ejecuta con una sola petición GET.

El resultado es que un atacante autenticado con un rol tan bajo como suscriptor puede subir archivos ejecutables y desembocar en ejecución remota de código. La gravedad asignada es CVSS 3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. El tipo de fallo es CWE-434 (carga de archivos peligrosos sin restricciones). La fecha de publicación en NVD es el 14 de octubre de 2026.

En el contexto español, esto afecta sobre todo a pymes, comercios online y empresas con webs corporativas o tiendas montadas sobre WordPress que hayan instalado este plugin para mostrar contenidos de redes sociales. Si además el sitio se aloja en un servidor propio o compartido con un equipo de IT reducido, la ventana de exposición puede ser amplia.

Por qué es urgente

Conviene aclarar un punto: según la información disponible, el CVE-2026-110002 no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando en ataques reales. Eso no significa que se pueda bajar la guardia. La combinación de una puntuación CVSS crítica, un vector de ataque por red, sin privilegios especiales y sin interacción del usuario la convierte en un objetivo muy atractivo para escaneos automatizados.

La barrera real es baja: basta con disponer de una cuenta de suscriptor, algo que en muchos sitios se obtiene con un simple registro abierto. A partir de ahí, la ruta hacia la ejecución de código está descrita en el propio aviso y no requiere conocimientos avanzados. En un WordPress español con comentarios o áreas de cliente abiertas, ese requisito se cumple con frecuencia.

Además, el fallo vive en un script accesible sin cargar WordPress, lo que dificulta que algunos plugins de seguridad genéricos lo detecten a tiempo. Por eso la prioridad no es esperar a ver ataques, sino cerrar la puerta antes de que alguien la encuentre.

Qué hacer hoy

Comprobar si el plugin está instalado y en qué versión. Si Snazzy Social Media Feed aparece en la lista de plugins y su versión es la 2.5 o anterior, está dentro del rango afectado.
Aplicar la actualización o mitigación que indique el aviso del fabricante. El material consultado no especifica una versión corregida, así que hay que guiarse por lo que publique el desarrollador del plugin o el equipo de WordPress. Si no hay parche disponible, la opción más segura es desactivar y retirar el plugin hasta que exista una solución.
Revisar indicios de intrusión. Merece la pena inspeccionar el directorio cached-content en busca de archivos PHP inesperados, revisar los registros de acceso en busca de peticiones directas a save-to-cache.php y comprobar si hay usuarios con rol de suscriptor creados de forma reciente o no reconocida.
Reducir lo expuesto a internet. Limitar el registro público si no es imprescindible, revisar los roles y capacidades de los usuarios, y restringir el acceso a scripts internos mediante las reglas del servidor web o un WAF.
Mantener un inventario actualizado de plugins, versiones y responsables. La mayoría de incidentes en WordPress empiezan por un componente olvidado que nadie actualiza.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña y del resto de España que tienen webs en WordPress, PrestaShop o Joomla y no disponen de un departamento de seguridad dedicado. Nuestro enfoque consiste en detectar y cerrar vulnerabilidades antes de que alguien las explote: auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización controlada de gestores de contenido, y reparación de webs que ya han sido hackeadas.

En un caso como el CVE-2026-110002, el trabajo empieza por saber con exactitud qué hay instalado y en qué versión, sigue por aplicar la mitigación adecuada según el aviso del fabricante y termina por revisar el sitio en busca de rastros de acceso no autorizado. Si el plugin no se puede actualizar todavía, ayudamos a aislarlo o retirarlo sin romper la web. Y si ya ha habido una intrusión, actuamos para contenerla, limpiar el código malicioso y restaurar el servicio con garantías.

La ciberseguridad no va de reaccionar a titulares, sino de tener un plan: inventario, parches al día, hardening y vigilancia continua. Ese es el terreno donde se ganan la mayoría de las batallas contra este tipo de fallos.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.