Si tienes una tienda online con WooCommerce, hay una posibilidad real de que alguien haya entrado ya en tu servidor sin necesidad de contraseña, usuario ni clic alguno por tu parte. No es una hipótesis alarmista: Wordfence ha bloqueado más de 100.000 intentos de explotación de un fallo crítico que sigue activo en miles de webs que todavía no han actualizado un plugin. Y lo peor es que muchas pymes ni siquiera saben que lo tienen instalado.
Qué ha pasado exactamente
El problema está en Wholesale Lead Capture, un plugin de la empresa Rymera Web Co. que se instala junto a WooCommerce para gestionar registros de clientes al por mayor. Los investigadores de seguridad lo han catalogado como CVE-2026-27540, con una puntuación de gravedad de 9,8 sobre 10, la máxima que se suele asignar a un fallo. El motivo: un atacante, sin estar registrado ni autenticado en la web, puede subir un archivo PHP haciéndose pasar por un documento normal y ejecutarlo directamente en el servidor.
Por qué esta vulnerabilidad es tan peligrosa
La función que falla se llama wwlc_file_upload_handler y estaba pensada para recibir documentos o imágenes en el formulario de registro mayorista. Al no comprobar bien el tipo de archivo que se sube, un atacante puede saltarse el filtro y colocar un webshell: un pequeño programa que le da control remoto del servidor. A partir de ahí puede crear usuarios administradores, modificar cualquier contenido, robar datos de clientes o usar tu web como puerta de entrada a otros ataques. Todo esto sin que tú veas ningún aviso de error ni ninguna alerta visible en el panel de WordPress.
Cómo saber si tu web está en riesgo
El fallo afecta a las versiones 2.0.3.1 e inferiores del plugin Wholesale Lead Capture. Se corrigió en la versión 2.0.3.2, publicada ya hace meses, pero la explotación activa detectada en septiembre demuestra que buena parte de las tiendas que lo usan siguen sin actualizar. Si tienes WooCommerce, entra en Plugins desde tu escritorio de WordPress y busca Wholesale Lead Capture en la lista. Si aparece y la versión es anterior a la 2.0.3.2, tienes que actuar hoy, no la semana que viene.
Los pasos que tienes que dar ahora mismo
Primero, actualiza el plugin a la última versión disponible o desinstálalo si no lo usas realmente. Segundo, revisa la lista de usuarios administradores de tu WordPress: si aparece alguno que no reconoces, es una señal de que ya te han comprometido. Tercero, pide a quien mantenga tu hosting que revise si hay archivos PHP sospechosos subidos recientemente en las carpetas de subida de contenido (wp-content/uploads). Cuarto, cambia las contraseñas de acceso al panel y a la base de datos por si acaso. Ninguno de estos pasos requiere conocimientos técnicos avanzados, pero sí requiere hacerlo ya.
WordPress está reforzando su seguridad, pero no basta con esperar
La propia comunidad de WordPress ha empezado a usar modelos de inteligencia artificial para revisar el código de cada actualización de plugins y temas antes de que llegue a las webs, bloqueando automáticamente las versiones que detecten como peligrosas. Es una buena noticia a medio plazo, pero no cubre lo que ya está instalado en tu servidor desde hace meses. La seguridad de tu web sigue siendo responsabilidad de quien la mantiene, no del sistema que la alimenta.
Si no tienes claro qué plugins tienes activos ni cuándo se actualizaron por última vez, es el momento de revisarlo antes de que lo revise alguien con peores intenciones. En Webosconjamon hacemos auditorías de seguridad WordPress que detectan justo este tipo de fallos antes de que se conviertan en un problema real. Escríbenos y le echamos un vistazo a tu web esta misma semana.
Aviso de transparencia: este artículo ha sido elaborado con asistencia de inteligencia artificial, en cumplimiento del artículo 50 del Reglamento (UE) 2024/1689 (AI Act) sobre transparencia de contenidos generados por IA.