Vulnerabilidad crítica en el plugin payever para WooCommerce

Qué es y a quién afectaEl plugin payever – WooCommerce Gateway para WordPress arrastra un fallo grave de seguridad identificado como CVE-2026-93754. S...

Qué es y a quién afecta

El plugin payever – WooCommerce Gateway para WordPress arrastra un fallo grave de seguridad identificado como CVE-2026-93754. Según la descripción publicada en la National Vulnerability Database (NVD) del NIST, el problema afecta a varias versiones hasta la 4.8.0 inclusive y permite a un atacante subir archivos arbitrarios y llegar a ejecutar código remoto (remote code execution).

La raíz está en el registro de tres callbacks de la API de WooCommerce —payever_set_sandbox_api_keys, payever_toggle_subscription y payever_synchronization_incoming— que se exponen sin autenticación, sin comprobación de capacidades y sin nonce. Además, la rutina upload_image() escribe un archivo descargado remotamente en el directorio público de subidas usando un nombre controlado por el atacante antes de validar el tipo de archivo. El resultado: cualquiera puede dejar un archivo PHP ejecutable en el servidor.

El fallo se clasifica como CWE-434 (subida de archivos peligrosos sin restricción de tipo) y su gravedad es CVSS 3.1 de 9.8, CRITICAL, con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. En la práctica, no hace falta cuenta ni interacción de la víctima: basta con alcanzar la web por red. Afecta sobre todo a pymes y comercios online que usan WooCommerce con esta pasarela de pago y no llevan un control riguroso de actualizaciones.

Por qué es urgente

Conviene ser precisos: este CVE no consta en el catálogo KEV de CISA, es decir, no hay constancia pública de que se esté explotando de forma activa. Eso no lo hace inofensivo. Un 9.8 con ejecución remota de código y sin necesidad de autenticarse es el tipo de vulnerabilidad que los atacantes automatizan en cuanto aparece un objetivo accesible, y las webs de comercio electrónico son un blanco habitual por los datos de pago y clientes que manejan.

Hay un matiz técnico que agrava la situación: la NVD señala que la parte de recuperación de token de la cadena completa depende de una llamada saliente del plugin al servicio de Payever, pero que la sobrescritura de identidad con credenciales embebidas y sin autenticación (CWE-862/CWE-798) es explotable de forma independiente. Es decir, no hace falta esperar a que se cumpla toda la cadena para que el riesgo sea real. La fecha de publicación en NVD es el 7 de noviembre de 2026.

Qué hacer hoy

Comprueba si usas el plugin y en qué versión. Entra en el panel de WordPress y revisa la versión instalada de payever – WooCommerce Gateway. Si estás en cualquier versión hasta la 4.8.0, estás dentro del rango afectado.
Aplica la actualización o mitigación que indique el aviso del fabricante. El material disponible no especifica qué versión corrige el fallo, así que no des por hecho ningún número: consulta el aviso oficial del plugin y actúa según lo que indique.
Busca indicios de intrusión. Revisa el directorio de subidas en busca de archivos PHP o nombres sospechosos, y comprueba los registros de acceso por peticiones a los callbacks mencionados. Si detectas algo extraño, trata la web como comprometida.
Reduce lo expuesto a internet. Desactiva o elimina el plugin si no lo estás usando, limita el acceso al panel y a la API donde sea posible, y mantén al día el resto de plugins, el tema y el núcleo de WordPress.

Este caso recuerda una regla sencilla: en un comercio online, cada plugin es una puerta más. Un plugin de pago antiguo y sin revisar puede anular el esfuerzo invertido en el resto de la seguridad.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. Frente a casos como este, nuestro enfoque es detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para saber qué hay realmente expuesto, hardening de servidores para limitar el daño si algo falla, monitorización y respuesta a incidentes para reaccionar rápido, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas cuando el problema ya ha ocurrido.

Todo ello con la vista puesta en el cumplimiento del RGPD y la LOPDGDD, porque una brecha en una tienda online no es solo un problema técnico: también es una obligación legal y un golpe a la confianza de tus clientes.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.