Si la página de tu negocio está hecha en WordPress y tiene un formulario de contacto con Ninja Forms, o una tienda con WooCommerce y el complemento WPC Product Bundles, revisa hoy tus actualizaciones. La firma de seguridad Patchstack detectó desde el 4 de octubre una campaña que aprovecha fallas en esos dos complementos para tomar el control de los sitios.
¿Cómo funciona el ataque?
Es un ataque de dos tiempos, según Patchstack:
- El atacante no necesita cuenta. Llena tu formulario de contacto o hace un pedido en tu tienda, como cualquier visitante, pero esconde código malicioso en los datos que envía.
- El código espera a que entres tú. Cuando un administrador abre las respuestas del formulario o el pedido en el panel de WordPress, ese código se ejecuta con sus permisos e instala un complemento falso llamado “WP Smart Thumbnails”.
A partir de ahí, el atacante se deja cuatro puertas abiertas: un administrador visible, otro administrador oculto que no aparece en la lista de usuarios, una dirección secreta para iniciar sesión y un administrador de archivos sin contraseña. Lo más delicado: según BleepingComputer, actualizar no limpia un sitio que ya fue infectado.
¿Qué versiones están afectadas?
| Complemento | Instalaciones activas | Afectadas | Actualiza a |
|---|---|---|---|
| Ninja Forms | Más de 500,000 | 3.15.3 y anteriores | 3.15.4 o posterior |
| WPC Product Bundles for WooCommerce | Más de 30,000 | 8.6.6 y anteriores | 8.6.7 o posterior |
Qué hacer hoy
- Actualiza ambos complementos si los tienes.
- Revisa si hay señales de intrusión, según la lista de Patchstack:
- Una carpeta
wp-smart-thumbnailsdentro dewp-content/plugins. - Archivos en
wp-content/mu-pluginscon nombres comoclass-wp-query-...phpoclass-wp-token-validate.php. - Administradores con nombres genéricos como “support”, “updater”, “maintenance” o “backup”, o con correo
@wordpress.org. Como pueden estar ocultos en el panel, hay que buscarlos directamente en la base de datos.
- Una carpeta
- Si encuentras algo, borra esos archivos y usuarios, cambia las contraseñas de todos los administradores y renueva las claves de seguridad de WordPress (las llamadas salts).
¿Qué significa para México?
Muchas PyMEs mexicanas tienen su página en WordPress, hecha hace años por un diseñador, y nadie la actualiza. Un formulario de contacto, que parece inofensivo, puede ser la puerta de entrada. Si no sabes qué complementos tiene tu sitio, pídele a quien lo administra que lo revise esta semana, y activa las actualizaciones automáticas de los complementos.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: Patchstack y BleepingComputer (06/10/2026), consultadas el 07/10/2026.