UpdraftPlus: actualizá YA por auth bypass a RCE

CVE-2026-10795: un bypass de autenticación sin credenciales en UpdraftPlus, el plugin de backups más instalado de WordPress (más de 3 millones de sitios), permite a un atacante forjar comandos RPC y ejecutarlos como el administrador conectado a UpdraftCentral — con el final esperado: subir y activar un plugin malicioso y ejecutar código en el servidor. El parche salió en junio (1.26.5 free / 2.26.5 Premium), pero la telemetría de Wordfence sigue bloqueando miles de intentos de explotación por día hoy mismo, tres meses después de la divulgación.

Si tu sitio usa UpdraftPlus y alguna vez lo conectaste a UpdraftCentral, estás en el grupo de mayor prioridad. Pero como nadie recuerda esas configuraciones, la regla práctica es una sola: verificá la versión y actualizá hoy.

Qué pasó

El 10 de junio de 2026, Wordfence divulgó públicamente esta falla (NVD la registró el 11/06 con Wordfence como CNA). La encontró el investigador vtim vía el programa de bug bounty de Wordfence, con un premio de USD 5.200.

La cronología de la mitigación muestra por qué el objetivo estuvo claro desde el día uno:

Fecha	Evento
02/06/2026	Wordfence recibe el reporte vía su bug bounty
03/06/2026	Firewall rule de Wordfence Premium desplegada (free: 03/07)
04/06/2026	El vendor confirma el reporte
05/06/2026	Parche liberado: 1.26.5 (free) / 2.26.5 (Premium)
10/06/2026	Divulgación pública + CVE-2026-10795

El detalle técnico es memorable por lo elegante del bug: un error criptográfico que colapsa en una clave todo-ceros predecible. No se observaron exploits en el momento exacto de la divulgación, pero desde entonces la explotación es constante: la ficha de Wordfence Intelligence mostraba al momento de redactar este post 7.848 ataques bloqueados en 24 horas en la entrada del vector original, y 69.110 en la entrada ampliada a Premium — el tipo de volumen que se ve en campañas activas de escaneo masivo contra el plugin.

Cómo funciona el ataque

El vector vive en el protocolo de comunicación remota que UpdraftPlus registra para UpdraftCentral, el panel de gestión remota del plugin. El endpoint escucha, sin autenticación, en cada carga de página de los sitios que estuvieron conectados al panel.

La cadena, en criollo:

1. El mensaje entrante lleva una clave simétrica cifrada con RSA. El código hace $sym_key = $rsa->decrypt($sym_key); y nunca verifica el resultado — si la clave es basura, decrypt() devuelve false.
2. Ese false se pasa directo a Rijndael::setKey() (la clase AES de PHP). PHP convierte false en una clave determinística de 128 bits, toda de ceros, en vez de rechazar la operación.
3. Con la clave “todo-ceros” el atacante cifra un udrpc_message forjado: el servidor lo descifra “correctamente” y ejecuta el comando RPC con los privilegios del administrador conectado a UpdraftCentral.
4. El comando RPC no necesita nada sofisticado: subir y activar un plugin (o restaurar un backup manipulado). Ese plugin contiene el PHP del atacante → ejecución de código en el servidor, compromiso total del sitio.

El parche (1.26.5) es la corrección que cualquier auditor pediría: validar el resultado antes de usarlo.

// Vulnerable (<= 1.26.4)
$sym_key = $rsa->decrypt($sym_key);
$rij->setKey($sym_key);          // false -> clave all-zeros

// Parcheado (1.26.5+)
if (false === $sym_key || !is_string($sym_key) || strlen($sym_key) < 16) {
    return false;
}

Por qué te puede tocar

1. Es el plugin de backups más usado del ecosistema: 3M+ de instalaciones activas. Si el sitio hace backups con UpdraftPlus, el listener existe — la pregunta es si alguna vez quedó conectado a UpdraftCentral (probaste el panel, lo conectaste en un sitio de cliente por seis meses, lo desactivaste después…).
2. Es un plugin de backup: mirás el backup como infraestructura, no como superficie de ataque. Pero el endpoint de gestión remota es, exactamente, una puerta administrativa sin login.
3. Los atacantes ya lo agregaron al repertorio: los bloqueos de Wordfence (miles por día, meses después del parche) indican escaneo masivo y PoCs públicos circulando. El PoC público existe desde el día de la divulgación y documenta la cadena completa hasta el RCE.
4. La discrepancia de CVSS no te salva: NVD muestra 8.1 High (vector con complejidad de ataque alta, AC:H) mientras Wordfence actualizó su entrada a 9.8 Critical (AC:L, incluyendo Premium). Son dos lecturas del mismo bug; ambas son pre-auth-to-RCE.
5. Si sos agencia: un dashboard de UpdraftCentral conectado a decenas de sitios de clientes convierte cada sitio con versión vieja en una puerta a la red de clientes.

Indicadores de compromiso (IoCs)

#	Indicador	Dónde mirarlo
1	Requests POST con parámetro udrpc_message a la raíz de WordPress (firma del intento de explotación)	grep "udrpc_message" access.log
2	Plugins instalados que no instalaste vos (especialmente slugs raros o similares a plugins legítimos)	wp-content/plugins/ + Escritorio → Plugins
3	Archivos PHP nuevos en wp-content/plugins/ sin origen conocido (webshells)	Auditoría del filesystem
4	Acciones de administrador que no reconocés: activación de plugins, cambios de usuarios	Audit logs / Activity logs / registros de wp-admin

Los puntos 2-4 son huellas de un intento exitoso; el punto 1 es la firma de un intento (que puede ser masivo y no haber llegado a puerto).

Tabla de detalle técnico

Campo	Dato
CVE	CVE-2026-10795 (CNA: Wordfence, publicado 10/06/2026; NVD 11/06/2026)
Producto	UpdraftPlus (free ≤ 1.26.4; Premium 2.0 – < 2.26.5)
Tipo	Authentication Bypass sin autenticación → RCE (CWE-347: Improper Verification of Cryptographic Signature)
Severidad	9.8 Critical (Wordfence, free+Premium, AV:N/AC:L) / 8.1 High (NVD, vector AV:N/AC:H)
Versión corregida	1.26.5 (free, 05/06/2026) / 2.26.5 (Premium) — y posteriores (la rama actual ya supera 1.26.7)
Requisito	Sitio conectado (o alguna vez conectado) a UpdraftCentral
Research	vtim — Wordfence Bug Bounty (premio USD 5.200)
Explotación activa	Sí: miles de intentos bloqueados por Wordfence en ventanas de 24h (7.848 en la entrada free, 69.110 en la ampliada a Premium); zeropath documenta explotación activa confirmada
Raíz técnica	$rsa->decrypt() sin validar → false como clave AES → clave all-zeros predecible → RPC forjado como admin

Qué hacer ahora

1. Verificá la versión instalada: Escritorio → Plugins → UpdraftPlus (o wp plugin list | grep updraftplus por WP-CLI). Si es < 1.26.5 (free) o < 2.26.5 (Premium), estás afectado.
2. Actualizá a la última versión disponible hoy (el parche mínimo es 1.26.5, pero la rama ya supera 1.26.7 — en agosto se parcheó además un CSRF, CVE-2026-76549, en 1.26.7). No esperes a que el auto-update lo haga: hacelo vos y verificá.
3. Si alguna vez conectaste UpdraftCentral (lo probaste, lo tuviste en un cliente, lo ves en el panel): esta es tu prioridad número uno del día. Considerá desconectar UpdraftCentral si no lo usás activamente — menos superficie, menos dolor.
4. Revisá los IoCs: grep "udrpc_message" en los access logs de los últimos 6 meses, y audité wp-content/plugins/ buscando plugins y PHP que no instalaste. Un plugin instalado sin que nadie lo hiciera = comprometido, tratálo como incidente (backup del sitio limpio + cambio de credenciales + revisión de usuarios admin, con el paso a paso en cómo eliminar un usuario administrador en WordPress).
5. Si manejás sitios de clientes: revisá cada instalación, no solo la tuya — un único sitio con versión vieja y UpdraftCentral activo compromete la red de clientes entera. Wordfence (free incluido) está protegido contra este CVE desde el 03/07/2026: si encontrás un sitio vulnerable, ese es otro motivo para tener un firewall activo.
6. No pongas este chequeo “para cuando haya tiempo”: es el plugin de backup del sitio — si lo comprometen, los backups que tenés pueden ser parte del problema, no la solución.

TL;DR: CVE-2026-10795 es un bypass de autenticación sin credenciales que termina en RCE en UpdraftPlus < 1.26.5 (Premium < 2.26.5), explotable vía el protocolo de UpdraftCentral por un fallo criptográfico (clave AES all-zeros). Crítico en Wordfence (9.8), High en NVD (8.1). Hay explotación activa hoy (miles de intentos bloqueados por Wordfence en 24h). Parche disponible desde el 05/06/2026. Actualizá a la última versión hoy, desconectá UpdraftCentral si no lo usás, revisá udrpc_message en los logs y audité los plugins instalados.

Si preferís que lo revise alguien con experiencia, podés pedir una auditoría de seguridad WordPress; si ya encontraste un plugin que no instalaste, corresponde una recuperación de sitio hackeado. Y si querés el contexto más amplio, mirá el panorama de ataques WordPress 2026.

Fuentes

• NVD — CVE-2026-10795
• Wordfence Blog — Critical Unauthenticated Authentication Bypass Vulnerability Patched in UpdraftPlus (10/06/2026)
• Wordfence Intelligence — CVE-2026-10795 (ficha con telemetría de bloqueos)
• Tenable — CVE-2026-10795 (vector y EPSS)
• Malware News — timeline de divulgación y parche
• GitHub — Análisis del PoC y detalle del fix (educativo)
• zeropath — CVE-2026-10795 (resumen con explotación activa confirmada)