[Anuncio] [Important] Advisory regarding the critical WordPress vulnerability (wp2shell / CVE-2026-63030)

Muchas gracias por utilizar nuestros servicios de forma continua.

Recientemente se ha hecho pública una vulnerabilidad grave en la función principal del sistema de gestión de contenidos "WordPress". Esta vulnerabilidad podría permitir la ejecución arbitraria de código por parte de terceros sin necesidad de autenticación, lo que podría llevar al secuestro del sitio (CVE-2026-63030, conocido como "wp2shell"). También se incluye una vulnerabilidad de inyección SQL que puede ser explotada en conjunto (CVE-2026-60137).

Esta vulnerabilidad es independiente de la autenticación o el inicio de sesión y afecta a todos los entornos que utilicen versiones afectadas de WordPress, sin importar si se utilizan plugins o temas específicos. Si utiliza WordPress, le rogamos que lo revise con urgencia.

Versiones afectadas

• WordPress 6.9.0 〜 6.9.4
• WordPress 7.0.0 〜 7.0.1
• WordPress 6.8.0 〜 6.8.5 (Objetivo de la vulnerabilidad de inyección SQL asociada)

Solicitud a los clientes (Medidas permanentes)

Por favor, actualice su WordPress en uso a las versiones parcheadas o posteriores indicadas a continuación.

• 6.9.x → 6.9.5 o posterior
• 7.0.x → 7.0.2 o posterior
• 6.8.x → 6.8.6 o posterior

※ Incluso si tiene habilitada la actualización automática, por favor verifique en el panel de administración que la actualización se haya completado realmente.

Sobre las medidas provisionales del proveedor de servidores

Algunos proveedores de servicios de alojamiento web han implementado una medida temporal bloqueando la comunicación con los endpoints de lote (REST API /wp-json/batch/v1), que es la ruta de ataque. Debido a esto, los plugins, temas, integraciones externas o funciones personalizadas que utilicen dicha API podrían no funcionar correctamente por un tiempo. Para más detalles, consulte el anuncio de su proveedor de servicios de alojamiento.

Para clientes que utilizan nuestro CMS (VosCMS)

Los sitios construidos con nuestro CMS propietario, "VosCMS", no se ven afectados por esta vulnerabilidad de WordPress. Puede utilizarlos sin preocupaciones. Si tiene alguna pregunta sobre la actualización o seguridad del sitio de WordPress, no dude en ponerse en contacto con nosotros.

【Referencia (Enlaces externos)】
・Aviso de Star Rental Server: https://www.star.ne.jp/news/detail.php?view_id=14373
・Por favor, consulte también los anuncios oficiales de WordPress y JVN/NVD.

23 de julio de 2026
The Boss ECO Institute Co., Ltd.