Introducción
Un visitante sin credenciales puede subir un archivo PHP malicioso al directorio de formularios de tu sitio WordPress y ejecutarlo con los permisos del proceso web. No hace falta una cuenta de administrador, ni acceso al panel, ni interacción del usuario. Esa es la realidad que CVE-2026-32475 impone sobre más de 6 millones de instalaciones activas de Elementor Pro, y los equipos de seguridad dejaron de discutir si era explotable: Defiant reportó más de 190.000 intentos de explotación bloqueados desde que salió el parche. Para cualquier organización que opere sitios WordPress con Elementor Pro en producción, la ventana entre el anuncio público del fix y la actualización real se convirtió en un riesgo operativo concreto, medible en minutos.
Qué ocurrió
Elementor Pro, la versión de pago del constructor visual de sitios web para WordPress, incluye un Form widget que soporta campos de carga de archivos (File Upload). El bug reside en la función que procesa las validaciones de esos campos: cuando el bucle de validación recorre un array de archivos subidos y encuentra una posición vacía, lanza un error y ejecuta un return que aborta toda la iteración. El comportamiento correcto sería saltar la entrada vacía y continuar validando el resto. En cambio, los archivos que aparecen después del slot vacío nunca pasan por las verificaciones de tipo, extensión ni contenido.
El vector de ataque es trivial. Un atacante envía una solicitud POST al endpoint admin-ajax.php con el campo de subida como un array de dos elementos: el primero vacío (para disparar el return) y el segundo conteniendo un payload PHP. La función de procesamiento de campos, que sí maneja correctamente el slot vacío, escribe el segundo archivo en disco sin ninguna validación. El resultado es un archivo .php ejecutable en /wp-content/uploads/elementor/forms/, accesible por URL directa.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El impacto no se limita al sitio web. Un PHP ejecutable en ese directorio otorga al atacante acceso como el usuario del proceso web (típicamente www-data en Apache o nginx en Nginx). Desde ahí, puede leer archivos de configuración que contienen credenciales de base de datos (el clásico wp-config.php), establecer backdoors persistentes, moverse lateralmente hacia servicios internos de la misma red, o usar el servidor como plataforma de distribución de malware. En entornos cloud con instancias EC2, Compute Engine o droplets con metadata accesible, un backdoor PHP puede exfiltrar IAM credentials si la instancia tiene roles asociados.
La superficie de exposición es amplia. Elementor Pro supera los 6 millones de instalaciones activas, y los datos de WordPress indican que aproximadamente dos tercios de las 10 millones de instalaciones totales (incluyendo la versión gratuita) corrían una versión vulnerable al 4 de septiembre. Los equipos de SRE que gestionan flotas de WordPress en Kubernetes, autoscaling groups o servicios gestionados como WordPress VIP deben priorizar este parche por encima de vulnerabilidades de menor severidad, dado que el exploit no requiere autenticación y la carga de PHP es inmediata.
Detalles técnicos
- CVE: CVE-2026-32475
- CVSS v3.1: 9.8 (Critical) — vector de red, sin autenticación, impacto total en confidencialidad, integridad y disponibilidad
- Componente afectado: Elementor Pro, Form widget, función de validación de subidas de archivos
- Versiones vulnerables: todas las iteraciones de Elementor Pro anteriores a 4.2.1
- Versión parcheada: 4.2.2, publicada el 19 de agosto
- Directorio de escritura del payload: /wp-content/uploads/elementor/forms/
- Endpoint de ataque: /wp-admin/admin-ajax.php
- Autenticación requerida: ninguna (unauthenticated remote code execution)
- Mecanismo del bug: return prematuro en el bucle de validación al encontrar un slot vacío en el array de archivos, lo que omite la verificación de los elementos restantes
El payload mínimo que un atacante puede inyectar es un archivo PHP genérico. Por ejemplo, un webshell estándar:
Una vez subido, el atacante accede a https://tudominio.com/wp-content/uploads/elementor/forms/nombre_archivo.php?cmd=id y ejecuta comandos del sistema. Defiant documentó que los actores de amenaza comenzaron a explotar el defecto inmediatamente después de la publicación del fix, lo que indica que existían exploits en desarrollo antes del parche.
Qué deberían hacer los administradores y equipos técnicos
1. Actualizar Elementor Pro de inmediato. Desde el panel de WordPress o por WP-CLI:
wp plugin update elementor-pro –version=4.2.2
Si gestionás una flota, ejecutá el update en todas las instancias y verificá la versión:
wp plugin get elementor-pro –field=version
2. Auditar el directorio de formularios en busca de IoCs. Buscá archivos .php que no correspondan a la funcionalidad legítima del plugin:
find /var/www/html/wp-content/uploads/elementor/forms/ -name «*.php» -exec ls -la {} \;
Cualquier .php en ese directorio es un indicador fuerte de compromiso. Elementor no escribe PHP ahí en condiciones normales.
3. Revisar los logs de acceso web. Filtrá requests al endpoint AJAX con payloads sospechosos:
grep «admin-ajax.php» /var/log/nginx/access.log | grep -i «elementor» | grep -i «upload»
Buscás POSTs con parámetros de archivo que contengan múltiples entradas o nombres de archivo con extensión .php, .phtml, .php5, .shtml.
4. Endurecer el directorio de uploads. Si no podés parchear de inmediato, bloqueá la ejecución de PHP en ese path. En Nginx:
location ~* /wp-content/uploads/elementor/forms/.*\.php$ {
deny all;
}
En Apache, creá un .htaccess dentro del directorio:
Order deny,allow
Deny from all
5. Escaneá el sitio completo en búsqueda de backdoors. Si encontrás evidencia de compromiso, no bastá con borrar el archivo. Revisá wp-content/plugins/, wp-content/themes/, archivos .htaccess modificados, y cron jobs:
find /var/www/html -name «*.php» -newer /var/www/html/wp-includes/version.php -mtime -30
6. Rotar credenciales. Si un backdoor accedió a wp-config.php, cambiá las credenciales de la base de datos, las keys de WordPress (salts) y cualquier API key expuesta en variables de entorno.
Conclusión
CVE-2026-32475 es un recordatorio incómodo: un return mal ubicado en un bucle de validación de tres líneas basta para convertir un formulario público en una puerta de entrada RCE. No se trata de un exploit sofisticado, y eso es justamente lo que lo hace peligroso a escala. Con 190.000 intentos bloqueados y dos tercios de la base instalada sin parche, la ventana de exposición real es amplia. Si tu infraestructura corre WordPress con Elementor Pro, el update a 4.2.2 no es una tarea de mantenimiento programada para el próximo sprint: es una acción de contención que debería ejecutarse hoy.
Fuentes
- https://www.securityweek.com/elementor-pro-wordpress-plugin-vulnerability-exploited-to-hack-sites/