El pasado 17 de septiembre, el equipo de seguridad de WordPress publicó un aviso urgente sobre una vulnerabilidad crítica identificada como CVE-2026-93485 y apodada \\\"Comment2Shell\\\". Este fallo reside en el núcleo del popular gestor de contenidos y permite que un visitante sin autenticación deje un comentario aparentemente inofensivo que, en realidad, contiene un script oculto. Cuando un administrador con sesión activa accede a la página donde se publicó el comentario, el código se ejecuta en el contexto del servidor, abriendo la puerta a una ejecución remota de código (RCE).\\n\\nEl mecanismo de ataque combina dos vulnerabilidades bien conocidas: un Cross‑Site Scripting (XSS) persistente y una insuficiente validación de las sesiones de administrador. Al publicar el comentario, el atacante inyecta un payload JavaScript que permanece en el HTML de la entrada. Cuando el administrador, al revisar los comentarios o al previsualizar la entrada, carga esa página, el script se ejecuta en su navegador y, mediante técnicas de aprovechamiento de la sesión, realiza una petición AJAX al archivo admin‑ajax.php con privilegios elevados. Esta petición puede incluir comandos shell que se ejecutan en el servidor subyacente, permitiendo al atacante subir webshells, modificar archivos o exfiltrar datos sensibles.\\n\\nLa cadena de explotación es particularmente peligrosa porque no requiere ninguna interacción del usuario más allá de la visita normal de un administrador al sitio. Un atacante puede dejar el comentario malicioso en cualquier entrada pública, esperar a que el responsable del sitio ingrese al panel de control o revise la entrada, y en ese momento obtener acceso total al servidor. Esto transforma lo que sería un simple defacement o robo de credenciales en una comprometida total del entorno de hosting, con posibilidades de moverse lateralmente a otros servicios en la misma infraestructura.\\n\\nTras el descubrimiento, el equipo de WordPress lanzó la versión 7.1.1, que incluye el parche correspondiente a CVE-2026-93485. La corrección consiste en una filtración más estricta de los caracteres permitidos en los campos de comentario y en la reforzación de la validación de tokens CSRF en las peticiones administrativas. Los desarrolladores recomendaron a todos los propietarios de sitios que actualicen de forma inmediata, ya que las versiones anteriores permanecen expuestas a explotación automática mediante bots que escanean sitios vulnerables y publican el comentario malicioso sin intervención humana.\\n\\nDesde una perspectiva de seguridad de aplicaciones web, el caso Comment2Shell ilustra cómo la combinación de fallas relativamente menores puede producir un impacto devastador cuando se encadenan. Los administradores a menudo confían en que la eliminación de comentarios o la moderación básica basta para mitigar riesgos de XSS, pero este incidente muestra que la superficie de ataque incluye también la lógica de sesión y los endpoints de administración. Además, destaca la importancia de aplicar el principio de menor privilegio: incluso una cuenta de administrador debería operar con tokens de corta vida y con restricciones de origen que limiten la ejecución de scripts arbitrarios en su navegador.\\n\\nPara los profesionales de TI y los responsables de seguridad, la lección es clara: mantener el núcleo de WordPress y sus plugins al día es esencial, pero también es necesario implementar cabeceras de seguridad como Content Security Policy (CSP) y usar soluciones de firewall de aplicaciones web (WAF) que puedan detectar y bloquear intentos de inyección de scripts en los comentarios. Finalmente, la monitorización de logs de acceso a admin‑ajax.php y la revisión regular de cuentas con privilegios elevados pueden ayudar a detectar un compromiso temprano antes de que el atacante consolide su presencia en el servidor.