AutomatorWP Pro: fallo crítico permite cambiar la contraseña de un administrador

AutomatorWP Pro: fallo crítico permite cambiar la contraseña de un administrador

Qué es y a quién afectaAutomatorWP Pro es un plugin de automatización para WordPress que permite encadenar acciones entre distintos plugins y servicio...

Qué es y a quién afecta

AutomatorWP Pro es un plugin de automatización para WordPress que permite encadenar acciones entre distintos plugins y servicios. Su addon de webhook incorpora un fallo de control de autorización catalogado como CVE-2026-126173, con una puntuación CVSS 3.1 de 9.8 (CRITICAL) y clasificación CWE-862 (ausencia de comprobación de autorización).

Puerta cerrada con candado y una trampilla lateral entreabierta con la llave puesta, metáfora de una vía de acceso sin proteger

Según la descripción publicada en la National Vulnerability Database (NVD) del NIST, el problema afecta a todas las versiones del addon webhook hasta la 1.4.4, incluida esta. La causa es que el plugin no verifica correctamente que un usuario esté autorizado a ejecutar una acción. La consecuencia es seria: un atacante no autenticado puede restablecer la contraseña de cualquier cuenta de WordPress, incluida la de administrador, y hacerse con el control total de la cuenta.

Conviene matizar el alcance, porque no se trata de un fallo que se pueda aprovechar en cualquier instalación. La explotación solo es posible cuando un administrador ha configurado una automatización que empareja un disparador Receive Webhook —con un campo «Is the user ID»— con una acción Update-User cuyo campo User ID se ha dejado en blanco y cuyo campo Password está vinculado a la etiqueta de contraseña del webhook. Se trata, además, de una configuración documentada y soportada por el propio plugin, no de un uso exótico.

Por qué es urgente

El vector de ataque es remoto, de baja complejidad y no requiere autenticación ni interacción de la víctima (AV:N/AC:L/PR:N/UI:N), lo que explica la nota máxima en confidencialidad, integridad y disponibilidad. Un cambio de contraseña de administrador abre la puerta a la instalación de plugins maliciosos, la exfiltración de datos de clientes o la manipulación de pedidos en un comercio online.

Hay que ser precisos con el estado actual: esta vulnerabilidad no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa. Eso no la hace menos peligrosa, pero sí significa que no existe un plazo obligatorio de remediación marcado por CISA. La fecha de publicación en NVD es el 14 de noviembre de 2026.

Qué hacer hoy

  • Comprobar si se usa el addon. Revisad si vuestra instalación de WordPress tiene AutomatorWP Pro con el complemento de webhook activo y confirmad la versión instalada. Si no lo usáis, desinstaladlo o desactivadlo: cada plugin inactivo que sigue en el servidor es superficie de ataque innecesaria.
  • Revisar las automatizaciones configuradas. Buscad recetas que combinen un disparador Receive Webhook con un campo «Is the user ID» y una acción Update-User con el User ID vacío y la contraseña vinculada a la etiqueta del webhook. Mientras no apliquéis la corrección, desactivad esas automatizaciones o completad el campo User ID con un valor concreto.
  • Aplicar la actualización. Consultad el aviso del fabricante en automatorwp.com para conocer la versión que corrige el fallo y actualizad siguiendo sus indicaciones. No existe una versión corregida confirmada en la información pública disponible, así que la referencia válida es la del propio proveedor.
  • Buscar indicios de intrusión. Revisad los registros de acceso y las llamadas a la API REST en busca de peticiones anómalas a los endpoints del webhook, cambios de contraseña no reconocidos, altas de usuarios administradores nuevas o modificaciones en plugins y temas.
  • Reducir lo expuesto. Limitad el acceso a wp-admin y a la API REST por IP cuando sea viable, exigid doble factor a todas las cuentas con privilegios y mantened WordPress, temas y plugins al día.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños de Lleida, Barcelona, Tarragona y Girona que necesitan saber con certeza qué tienen expuesto. Nuestras auditorías de seguridad y pruebas de penetración permiten identificar configuraciones de riesgo como la que describe este CVE antes de que alguien las aproveche, y el hardening de servidores reduce el margen de maniobra de un atacante que ya ha entrado.

Para webs en WordPress, PrestaShop o Joomla, el mantenimiento y la actualización continuos son la primera línea de defensa: aplicar parches de seguridad a tiempo evita que una vulnerabilidad grave se convierta en un incidente. A eso sumamos monitorización y respuesta a incidentes para detectar cambios sospechosos en cuentas y ficheros, y un servicio de reparación de webs hackeadas cuando el daño ya se ha producido. Si gestionáis vuestra propia infraestructura, podemos revisar juntos el estado real de la instalación y priorizar qué cerrar primero.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.