Backuply: la vulnerabilidad SQL que amenaza a 600,000 sitios de WordPress
El 17 de septiembre de 2026 se identificó una vulnerabilidad de inyección SQL de segundo orden en el plugin Backuply para WordPress, que cuenta con más de 600,000 instalaciones activas. Esta vulnerabilidad permite a atacantes autenticados con acceso a nivel de suscriptor o superior almacenar una carga útil SQL maliciosa que se ejecutará cuando un administrador restaure una copia de seguridad de la base de datos. Esto podría permitir que el atacante eleve su privilegio a administrador y tome el control total del sitio.
La vulnerabilidad fue reportada responsablemente por un investigador a través del programa de recompensas de seguridad de Wordfence, recibiendo una compensación de $1,352.00. El equipo de Wordfence ha destacado su compromiso por asegurar WordPress mediante detección y prevención de vulnerabilidades, un elemento clave en su enfoque de seguridad por capas.
Los usuarios de Wordfence Premium, Wordfence Care y Wordfence Response recibieron una regla de cortafuegos para protegerse contra exploits conocidos relacionados con esta vulnerabilidad el 24 de septiembre de 2026. Los sitios que utilizan la versión gratuita de Wordfence recibirán la misma protección el 24 de octubre de 2026.
La vulnerabilidad fue divulgada al equipo de Backuply el 28 de septiembre de 2026, y el desarrollador lanzó la versión corregida el 1 de octubre de 2026. Se recomienda encarecidamente a los usuarios actualizar a la versión parcheada de Backuply, que es la 1.5.9 al momento de esta publicación.
Consideraciones técnicas para entornos de producción
La vulnerabilidad de inyección SQL se presenta como un riesgo significativo, ya que permite a un atacante, tras almacenar una carga SQL maliciosa, ejecutar comandos que pueden llevar a un cambio en el rol de usuario por defecto a administrador. La inyección se efectúa en el campo «Biographical Info», accesible a los usuarios autenticados. Este efecto se produce solo cuando un administrador realiza la restauración de una copia de seguridad que contiene la carga maliciosa. Por ende, es crucial revisar la política de respaldo y restauración en webs que utilicen el plugin Backuply.
El impacto real dependerá de la estructura del sitio. En instalaciones corporativas o de comercio electrónico (WooCommerce), donde la seguridad es primordial, esta vulnerabilidad puede llevar a compromisos significativos si no se toman medidas preventivas. Se debe monitorear el acceso y los registros de actividades para detectar cualquier acceso inusual que pueda señalar un intento de explotación de la vulnerabilidad antes mencionada.
Protocolos de implementación recomendados
Es fundamental aplicar los siguientes pasos antes y después de realizar la actualización del plugin:
- Copia de seguridad previa: Antes de actualizar el plugin a la versión 1.5.9, se debe realizar una copia de seguridad completa de la base de datos y los archivos del sitio.
- Revisión de compatibilidad: Evaluar si otros plugins o configuraciones actuales son compatibles con la nueva versión.
- Entorno de staging: Siempre que sea posible, realizar la actualización primero en un entorno de staging para detectar problemas antes de implementarlo en el sitio en producción.
- Monitorización posterior: Después de la actualización, es recomendable monitorear el sitio para asegurarse de que no se produzcan comportamientos inusuales.
¿Quién debería actuar y quién puede esperar?
Dado el nivel de riesgo asociado a esta vulnerabilidad, se recomienda a todos los usuarios del plugin Backuply actualizar a la versión 1.5.9 lo antes posible. Aquellas instalaciones que mantengan la versión anterior (1.5.8 o anteriores) están en riesgo significativo de ser explotadas. Por lo tanto, la actuación debe ser inmediata en todos los casos y no debe esperarse a realizar la actualización.
Sobre este contenido: WordPress Zaragoza utiliza automatización e inteligencia artificial para procesar novedades del ecosistema WordPress y convertirlas en análisis técnicos en español. Para cambios relevantes en producción, se recomienda contrastar siempre la información con la documentación oficial del proyecto, plugin o plataforma correspondiente.
Puedes consultar el artículo original aquí: https://www.wordfence.com/blog/2026/10/600000-wordpress-sites-affected-by-sql-injection-vulnerability-in-backuply-wordpress-plugin/