Prime Mover para WordPress: inyección de objetos PHP crítica (CVE-2026-115806)

Qué es y a quién afecta

El plugin Prime Mover – Backup and Migration para WordPress arrastra un fallo de inyección de objetos PHP (CWE-502) que afecta a todas las versiones hasta la 2.2.1 incluida. La vulnerabilidad está catalogada como CVE-2026-115806 y publicada en la NVD del NIST el 24 de octubre de 2026, con una gravedad CVSS 3.1 de 9.8 (CRITICAL) y un vector que no exige autenticación ni interacción del usuario.

El origen está en la rutina de búsqueda y reemplazo que el plugin usa durante las migraciones. Esa función decodifica en base64 un valor almacenado y lo pasa a la función de deserialización de PHP sin restringir las clases permitidas. El problema es que cualquier visitante puede dejar ese valor preparado en el contenido de un comentario a través del formulario público de comentarios del sitio. Cuando un administrador lanza una exportación o restauración habitual con Prime Mover, el plugin procesa ese contenido y desencadena la ejecución.

El detalle que agrava el asunto: no hace falta que el sitio tenga otro plugin o tema vulnerable para completar la cadena. El propio plugin incluye la librería Freemius y, dentro de ella, una secuencia de clases encadenables que permite escalar desde la deserialización hasta la modificación de opciones del sitio. Dicho de otro modo, el plugin trae consigo mismo las piezas necesarias para el ataque.

Esto afecta de lleno a pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y del resto de España que usan WordPress con este plugin para mover copias de seguridad entre entornos o para migrar el sitio de un servidor a otro. Es un uso muy habitual en agencias y en equipos de IT pequeños que gestionan varios proyectos a la vez.

Por qué es urgente

Conviene ser precisos: según los datos disponibles, este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa. Eso no significa que se pueda ignorar. La combinación de factores es delicada: el atacante no necesita credenciales, el vector es de red, la complejidad del ataque es baja y el impacto sobre confidencialidad, integridad y disponibilidad es alto. La puntuación de 9.8 no es un adorno.

Además, la barrera de entrada es mínima. Basta con publicar un comentario en el sitio. Muchos WordPress corporativos mantienen los comentarios abiertos por inercia, aunque nadie los use, y el administrador solo tiene que ejecutar una migración o una restauración para que el contenido malicioso se procese. En un calendario de mantenimiento normal, eso puede ocurrir cualquier semana.

Qué hacer hoy

• Comprobar si el plugin está instalado y en qué versión. Revisa el listado de plugins del escritorio de WordPress o, si gestionas varios sitios, haz un inventario rápido. Cualquier instalación en la 2.2.1 o anterior entra dentro del rango afectado.
• Aplicar la actualización o la mitigación que indique el aviso del fabricante. El material consultado no especifica qué versión corrige el fallo, así que no des por hecho que una versión concreta lo resuelve: consulta la ficha oficial del plugin y actúa según lo que publique el desarrollador. Si no hay actualización disponible, valora desactivar el plugin mientras no lo necesites.
• Revisar indicios de intrusión. Busca comentarios recientes con contenido extraño o cadenas codificadas en base64, usuarios administradores que no reconozcas y cambios en opciones del sitio que nadie haya autorizado. Si el sitio ha hecho migraciones recientes, revisa también los registros de acceso de esos días.
• Reducir lo expuesto a internet. Cierra los comentarios en las páginas que no los necesiten, limita el acceso al panel de administración por IP o mediante autenticación adicional y mantén al día el núcleo de WordPress, los temas y el resto de plugins.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que tienen WordPress, PrestaShop o Joomla y no siempre cuentan con un departamento de IT dedicado. Ante un aviso como este, lo primero es saber con certeza qué hay instalado y en qué versión en cada web. A partir de ahí, una auditoría de seguridad y un pentesting permiten comprobar si la superficie expuesta es realmente la que crees, y el hardening de servidores reduce el margen de maniobra de un atacante que ya ha conseguido colar algo.

Si el sitio ya muestra signos de manipulación, la respuesta a incidentes marca la diferencia entre un susto y un problema serio: identificar el origen, limpiar lo que haya entrado y reparar la web hackeada sin perder datos ni posicionamiento. Y para que esto no se repita, el mantenimiento y la actualización continua de WordPress, PrestaShop y Joomla, junto con la monitorización, permiten detectar vulnerabilidades y aplicar parches de seguridad antes de que alguien las aproveche.

Relacionado

• Ivanti Connect Secure: fallo grave CVE-2026-104935 ya explotado
• CVE-2026-96951 en Windows Shell: vulnerabilidad explotada
• CVE-2026-92097: fallo crítico en Click to Chat for WhatsApp
• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.