Underc0de - La Casa de los Informáticos

Una vulnerabilidad crítica en Elementor Pro para WordPress podría permitir a atacantes no autenticados subir archivos PHP maliciosos y conseguir ejecución remota de código (RCE) en servidores afectados. Identificada como CVE-2026-32475, la falla de seguridad afecta a versiones de Elementor Pro anteriores a la 4.2.2 y está relacionada con el sistema de subida de archivos utilizado por los formularios del popular constructor visual.

El problema resulta especialmente relevante para administradores de sitios WordPress que utilizan formularios creados con Elementor Pro, ya que una configuración específica puede abrir la puerta a la carga de archivos ejecutables en un directorio públicamente accesible. Aunque por el momento no se han identificado ataques activos explotando esta vulnerabilidad, la gravedad del fallo hace recomendable actualizar cuanto antes y revisar los archivos existentes en el servidor.

¿Qué es CVE-2026-32475 y por qué es peligrosa?

La vulnerabilidad CVE-2026-32475 se encuentra en el módulo de Subida de Archivos de Elementor Pro. El origen del problema está en la forma en que el plugin procesa determinadas solicitudes de carga de archivos multiparte.

Según la investigación de seguridad, el sistema emplea dos procesos diferentes: uno encargado de validar los archivos recibidos y otro responsable de procesarlos y trasladarlos al directorio correspondiente. El inconveniente es que ambos procesos manejan de manera diferente una entrada de archivo cuyo nombre está vacío.

En PHP, este tipo de situación puede generar el estado UPLOAD_ERR_NO_FILE. La rutina de validación puede interpretar esa entrada como un error y finalizar prematuramente la comprobación, mientras que el proceso posterior puede ignorarla y continuar procesando las partes restantes de la solicitud.

Esta diferencia de comportamiento permite construir una petición especialmente diseñada para que el sistema de validación no examine una carga maliciosa que posteriormente sí será procesada por el servidor.

¿Cómo puede explotarse la vulnerabilidad?

El escenario de ataque descrito por los investigadores consiste en preparar una subida de archivos multiparte. La primera parte de la solicitud contiene una entrada sin nombre de archivo, mientras que una segunda parte incorpora un archivo PHP malicioso.

La lógica de validación puede detenerse al encontrar la primera entrada vacía, considerando que se trata de un archivo inexistente. Como consecuencia, la carga maliciosa incluida posteriormente no pasa por las mismas comprobaciones.

Sin embargo, durante la fase de procesamiento, la entrada vacía se omite y el sistema continúa con las siguientes partes de la solicitud. De esta manera, el archivo PHP puede terminar almacenado en el directorio:

wp-content/uploads/elementor/forms/

Este comportamiento es particularmente peligroso porque se trata de una ubicación accesible desde el entorno público del sitio. Si el servidor está configurado para interpretar archivos PHP dentro de ese directorio, solicitar posteriormente el archivo puede provocar que el intérprete PHP ejecute el código incluido en él.

En términos prácticos, esto puede convertirse en una ejecución remota de código, permitiendo al atacante ejecutar instrucciones con los privilegios disponibles para el proceso del servidor web.

El problema afecta especialmente a formularios de Elementor Pro

Elementor es uno de los constructores visuales más utilizados dentro del ecosistema WordPress. Su versión Pro incorpora herramientas avanzadas para crear formularios, ventanas emergentes, plantillas, diseños personalizados y funcionalidades orientadas al comercio electrónico.

No obstante, la vulnerabilidad no afecta indiscriminadamente a todas las instalaciones de Elementor Pro.

De acuerdo con la información proporcionada por Elementor, el riesgo se concentra en sitios que utilizan un formulario de Elementor Pro con un campo de subida de archivos y que, además, tienen habilitada la opción de subida de múltiples archivos. Esta última configuración se encuentra deshabilitada de forma predeterminada.

Esto significa que los administradores deben prestar especial atención a los formularios públicos que permitan a visitantes cargar documentos, imágenes u otros archivos.

Un nombre de archivo predecible aumenta el riesgo

Otro aspecto relevante de CVE-2026-32475 está relacionado con la forma en que se genera el nombre del archivo almacenado.

Los investigadores señalaron que Elementor Pro utiliza uniqid() para generar determinados nombres de archivos. Aunque el nombre pueda parecer aleatorio, esta función está basada en información temporal y no proporciona la misma imprevisibilidad que un mecanismo criptográficamente seguro.

Esta característica puede permitir que un atacante intente determinar el nombre del archivo malicioso mediante técnicas de fuerza bruta basadas en temporización.

En determinadas configuraciones, incluso podrían existir mecanismos adicionales que faciliten la identificación de la ubicación exacta del archivo, como respuestas automáticas generadas por el propio formulario.

Una vez localizado el archivo PHP, una solicitud HTTP hacia su ubicación puede provocar su interpretación por parte del servidor, transformando una vulnerabilidad de carga de archivos en un escenario de ejecución remota de código.

Elementor Pro 4.2.2 corrige la vulnerabilidad

La vulnerabilidad fue comunicada inicialmente por el investigador Tin Pham el 16 de julio de 2026. Posteriormente, la información fue trasladada al equipo responsable de Elementor para que pudiera desarrollar una solución.

El desarrollador preparó una corrección al día siguiente y esta fue posteriormente verificada por Patchstack. La versión corregida de referencia es Elementor Pro 4.2.2, por lo que los administradores deben comprobar qué versión está instalada en sus sitios y actualizar si utilizan una versión vulnerable.

La actualización es la medida de protección más importante, pero no debería considerarse suficiente por sí sola cuando existe la posibilidad de que un atacante haya podido aprovechar el fallo antes de instalar el parche.

Actualizar Elementor Pro no elimina archivos maliciosos

Uno de los puntos más importantes para los administradores de WordPress es que instalar la actualización no elimina automáticamente los archivos que hayan podido ser subidos durante el periodo de exposición.

Por este motivo, además de actualizar Elementor Pro, se recomienda revisar cuidadosamente el directorio:

wp-content/uploads/elementor/forms/

Los administradores deberían buscar archivos PHP inesperados, scripts desconocidos o elementos que no correspondan con el funcionamiento habitual del sitio.

Una revisión de seguridad más amplia también puede ayudar a detectar modificaciones en otros directorios, usuarios administrativos desconocidos, cambios sospechosos en archivos del núcleo de WordPress y extensiones no autorizadas.

¿Existe explotación activa de CVE-2026-32475?

Hasta el momento de la información disponible, no se han observado casos de explotación activa de CVE-2026-32475 en ataques reales.

Sin embargo, la ausencia de explotación conocida no significa que los sitios vulnerables estén fuera de peligro. Las vulnerabilidades de ejecución remota de código en WordPress suelen convertirse rápidamente en objetivos debido a la gran cantidad de instalaciones existentes y al valor que pueden tener los servidores comprometidos.

Un atacante que consiga ejecutar código en un sitio puede intentar instalar malware, crear cuentas administrativas, modificar contenido, robar información, redirigir visitantes, desplegar puertas traseras o utilizar el servidor como plataforma para ataques posteriores.

Por ello, los administradores no deberían esperar a que aparezcan campañas de explotación para actuar.

Recomendaciones para proteger un sitio WordPress

La primera medida consiste en actualizar Elementor Pro a la versión 4.2.2 o una versión posterior disponible y compatible. También es recomendable mantener actualizado WordPress, los demás plugins y el tema utilizado.

Los responsables de los sitios deberían revisar especialmente los formularios públicos que incorporen campos de subida de archivos y comprobar si realmente necesitan permitir cargas múltiples.

Como medida adicional, conviene realizar una auditoría de los archivos almacenados en wp-content/uploads/elementor/forms/, analizar registros del servidor y comprobar solicitudes inusuales relacionadas con los formularios.

También es recomendable disponer de copias de seguridad recientes y verificadas, utilizar herramientas de monitorización de integridad de archivos y limitar al máximo los permisos disponibles para los procesos web.

En fin...

CVE-2026-32475 representa una vulnerabilidad crítica de Elementor Pro que puede convertir una función aparentemente legítima de subida de archivos en una vía para ejecutar código PHP en el servidor. El problema surge por una diferencia de comportamiento entre los procesos de validación y procesamiento de archivos, permitiendo que una carga especialmente diseñada pueda superar las comprobaciones y terminar en un directorio público.

La buena noticia es que el fabricante ya ha publicado una corrección y que, hasta ahora, no existen evidencias de explotación activa en estado salvaje. Aun así, los administradores de WordPress deben actuar con rapidez, especialmente si sus sitios utilizan formularios de Elementor Pro con subida múltiple de archivos.

Actualizar a Elementor Pro 4.2.2 o posterior, revisar los archivos existentes y comprobar los registros del servidor son pasos esenciales para reducir el riesgo. En materia de seguridad de WordPress, aplicar el parche es solo el primer paso: cuando una vulnerabilidad permite cargar y ejecutar archivos, también es fundamental comprobar si el sistema pudo haber sido comprometido antes de la actualización.

Funete: https://www.bleepingcomputer.com/