Vulnerabilidad crítica en Super Forms explotada activamente: actualizá ya a 6.3.314

Atacantes están explotando activamente una vulnerabilidad crítica de subida de archivos sin autenticación en Super Forms – Drag & Drop Form Builder, un plugin de WordPress con unos 13.000 sitios activos. La falla (CVE-2026-14894, CVSS 9.8) permite a cualquier visitante del sitio subir archivos ejecutables, como webshells PHP, y lograr ejecución remota de código. El patch ya existe: actualizá tu sitio a la versión 6.3.314 o superior lo antes posible.

Si ya tenés señales de compromiso, actualizar no alcanza.

El parche cierra la puerta, pero los backdoors que ya entraron siguen ejecutándose. Una recuperación de emergencia incluye diagnóstico de la puerta de entrada, eliminación de webshells, rotación de credenciales y verificación post-limpieza.

USD 300 · respuesta en menos de 2 horas · contame tu caso →

Qué pasó

Wordfence reveló esta semana los datos de explotación de una vulnerabilidad que divulgó el 9 de julio de 2026. El plugin procesa envíos de formularios con campos de subida de archivos a través de la función submit_form(), accesible para visitantes no autenticados. Al recibir un campo de tipo files con un valor datauristring, el plugin decodifica el contenido en base64 y lo escribe al disco usando el nombre y la ruta que aporta el propio atacante, sin validar tipo ni extensión del archivo.

El único obstáculo es un nonce, pero se obtiene gratis: otra acción AJAX (super_create_nonce) permite a cualquier visitante generar un nonce válido y una cookie de sesión en una sola petición. Toda la explotación se reduce a dos requests HTTP sin credenciales.

Con esto, un atacante puede escribir un archivo .php (webshell) en cualquier ubicación del servidor y ejecutar código arbitrario. Wordfence detectó que la explotación comenzó el 14 de julio de 2026, el mismo día en que publicó la regla de firewall correspondiente, y ya ha bloqueado más de 250.000 intentos de explotación, con picos entre el 18 y el 25 de agosto. Los webshells observados usan el branding “Mushr00w”, asociado a un grupo que también defaceó el sitio del Ministerio de Salud de Malasia.

Actualización (septiembre de 2026): la explotación sigue activa. En el momento de actualizar este post, Wordfence reportaba 364 ataques dirigidos a esta vulnerabilidad en las últimas 24 horas contra sitios sin actualizar. La ventana de riesgo no cerró: si tu sitio corre Super Forms en una versión <= 6.3.313, la campaña automatizada te puede alcanzar hoy mismo.

Detalle de la vulnerabilidad

• Plugin: Super Forms – Drag & Drop Form Builder (super-forms)
• CVE: CVE-2026-14894
• Severidad: 9.8 (Crítico) según CVSS 3.1
• Tipo: Arbitrary File Upload no autenticado → Remote Code Execution
• Versiones afectadas: todas las <= 6.3.313
• Versión corregida: 6.3.314 (publicada por el vendor el 8 de julio de 2026)
• Reportado por: andrea bocchetti, divulgado por Wordfence

Indicadores de compromiso

Si tu sitio corre Super Forms, revisá si fue afectado:

• Archivos inesperados o recientemente modificados .php, especialmente Mushr00w_upl.php en la raíz o en uploads.
• Peticiones a /wp-admin/admin-ajax.php con el parámetro action=super_submit_form en los logs del servidor.
• Cuentas de administrador desconocidas o contenido nuevo no autorizado.

Qué hacer si tenés WordPress en producción

1. Actualizá YA el plugin Super Forms a la versión 6.3.314 desde Escritorio → Plugins, de forma prioritaria en todos los sitios con el plugin instalado.
2. Si por algún motivo no podés actualizar de inmediato, desactivá el plugin o aplicá reglas de WAF (Wordfence Premium y gratuito ya las recibieron a partir del 13 de agosto).
3. Escaneá el sitio en busca de archivos PHP sospechosos y cuenta de administradores desconocidas.
4. Si encontrás signos de compromiso, eliminá las webshells, las cuentas admin desconocidas y revisá el sitio en busca de backdoors antes de seguir publicando.

Super Forms usa la versión vulnerable si tenés campos de subida de archivos en formularios. Si atendés otros sitios, avisá a sus administradores: los sitios sin actualizar siguen siendo blanco de campañas masivas automatizadas.

Fuente

• Attackers Actively Exploiting Critical Vulnerability in Super Forms Plugin – Wordfence
• CVE-2026-14894 – cve.org