{"id":18793,"date":"2026-06-12T08:08:00","date_gmt":"2026-06-12T08:08:00","guid":{"rendered":"https:\/\/newblog.siteground.com\/es\/?p=18793"},"modified":"2026-06-23T12:17:04","modified_gmt":"2026-06-23T12:17:04","slug":"vulnerabilidad-critica-updraftplus-corregida","status":"publish","type":"post","link":"https:\/\/www.siteground.es\/blog\/vulnerabilidad-critica-updraftplus-corregida\/","title":{"rendered":"Vulnerabilidad cr\u00edtica de UpdraftPlus corregida en todos los sitios WordPress alojados en SiteGround"},"content":{"rendered":"\n

Si tu sitio web utiliza el plugin de copias de seguridad UpdraftPlus, aqu\u00ed tienes la versi\u00f3n corta: se descubri\u00f3 una vulnerabilidad cr\u00edtica en el plugin, y ya lo hemos actualizado a la versi\u00f3n corregida en todos los sitios afectados que alojamos. Est\u00e1s protegido, y no necesitas hacer nada.<\/p>\n\n\n\n

A continuaci\u00f3n, te contamos qu\u00e9 pas\u00f3, qu\u00e9 hicimos y en qu\u00e9 debes fijarte.<\/p>\n\n\n\n

<\/span>Tu sitio ya est\u00e1 protegido<\/strong><\/span><\/h2>\n\n\n\n

El 11 de junio de 2026, nuestro equipo de ingenier\u00eda actualiz\u00f3 forzosamente el plugin UpdraftPlus en todos los sitios alojados que ejecutaban una versi\u00f3n vulnerable. Cada instalaci\u00f3n afectada se movi\u00f3 a la versi\u00f3n 1.26.5, que contiene la correcci\u00f3n oficial. M\u00e1s de 128.000 sitios en nuestra plataforma estaban ejecutando una versi\u00f3n vulnerable, y todos han sido corregidos.<\/p>\n\n\n\n

Probamos las rutas de actualizaci\u00f3n antes de implementarla y no encontramos ning\u00fan problema. No prevemos que esta actualizaci\u00f3n cause ning\u00fan fallo en los sitios.<\/p>\n\n\n\n

<\/span>\u00bfEn qu\u00e9 consiste la vulnerabilidad?<\/strong><\/span><\/h2>\n\n\n\n

La vulnerabilidad, identificada como CVE-2026-10795<\/a>, consiste en un Unauthenticated Authentication Bypass, es decir, una omisi\u00f3n de autenticaci\u00f3n que afecta a las versiones de UpdraftPlus hasta la 1.26.4. En pocas palabras, permit\u00eda a los atacantes obtener acceso de administrador a un sitio WordPress sin conocer el nombre de usuario ni la contrase\u00f1a. Desde all\u00ed, pod\u00edan ejecutar c\u00f3digo en el sitio, lo que representa una de las vulnerabilidades m\u00e1s graves que puede tener un plugin.<\/p>\n\n\n\n

El hecho de que no requiriera autenticaci\u00f3n es lo que la hace cr\u00edtica. Muchas vulnerabilidades exigen que el atacante ya tenga alg\u00fan nivel de acceso, como una cuenta de suscriptor o colaborador. Esta no requer\u00eda nada en absoluto. Cualquier sitio que ejecutara una versi\u00f3n vulnerable quedaba expuesto a cualquiera que conociera la vulnerabilidad.<\/p>\n\n\n\n

<\/span>Qu\u00e9 hicimos y cu\u00e1ndo<\/strong><\/span><\/h2>\n\n\n\n

Tan pronto como se divulg\u00f3 la vulnerabilidad, nuestro equipo tard\u00f3 menos de una hora en actualizar proactivamente la versi\u00f3n parcheada del plugin en todos los sitios afectados, actuando de inmediato para cerrar la ventana de exposici\u00f3n antes de que los atacantes pudieran explotarla a gran escala, en lugar de esperar a que los propietarios de los sitios actualizaran manualmente o se vieran afectados de alguna manera. <\/p>\n\n\n\n

Esta fue la respuesta:<\/p>\n\n\n\n