Wordfence Argus: Previene inyecciones PHP críticas en Duplicator
El 30 de agosto de 2026, el equipo de Inteligencia de Amenazas de Wordfence descubrió una vulnerabilidad de inyección de objeto PHP no autenticada en los plugins Duplicator y Duplicator Pro. Duplicator cuenta con más de un millón de instalaciones activas y la vulnerabilidad se rastrea como CVE-2026-82814, con una puntuación CVSS 3.1 de 8.8 (Alta). Esta es una vulnerabilidad de segundo orden, donde un atacante no autenticado puede insertar un valor malicioso en un comentario de WordPress, permaneciendo inactivo hasta que un administrador exporta un paquete de Duplicator que incluye ese comentario, activándose en el proceso de migración.
Las consecuencias varían según la edición utilizada. En Duplicator Free, las clases incluidas en el instalador afectado permiten ejecutar un comando del sistema operativo seleccionado por el atacante. Por otro lado, Duplicator Pro permite eliminar un archivo seleccionado por el atacante. La eliminación de wp-config.php puede abrir el proceso de configuración de WordPress y permitir que un atacante tome control del sitio al proporcionarle una base de datos accesible que controla.
Consideraciones técnicas para entornos de producción
La vulnerabilidad depende de factores específicos del entorno y del proceso de migración. En instalaciones de Duplicator, es fundamental considerar que importar un paquete creado con versiones vulnerables puede reactivar la explotación. Es aconsejable que se comprueben los registros de actividad y se revise detalladamente cualquier paquete de migración antes de su uso, para evitar la ejecución de código malicioso.
El problema principal reside en que las versiones vulnerables no inspeccionan adecuadamente los datos serializados. Específicamente, la función DUPX_UpdateEngine::unserializeTest() envía valores sin restringir las clases que pueden ser creadas, permitiendo que los atacantes controlen la ejecución de métodos especiales como __wakeup() y __destruct(). Esto puede ser crítico si se gestionan entornos donde los administradores crean o migran con frecuencia paquetes de Duplicator, especialmente en instalaciones con múltiples plugins o funciones avanzadas.
Protocolos de implementación recomendados
Se recomienda encarecidamente a los usuarios de Duplicator Free y Duplicator Pro que actualicen a la versión 5.0.0 o superior lo antes posible. Aunque actualizar el plugin no reconstruye paquetes existentes, es vital crear nuevos paquetes después de actualizar para evitar correr el riesgo de ejecutar código malicioso al migar el sitio. A continuación, se detallan las acciones recomendadas:
- Realizar una copia de seguridad completa del sitio antes de realizar actualizaciones.
- Actualizar Duplicator y realizar pruebas en un entorno de staging si es posible.
- Revisar la compatibilidad de Duplicator con otros plugins instalados, especialmente los que interactúan con el sistema de comentarios.
- Crear un nuevo paquete de migración utilizando la versión actualizada antes de proceder con una migración o importación de datos.
- Eliminar archivos de instalador de Duplicator que ya no sean necesarios y asegurar que no están accesibles públicamente.
¿Quién debería actuar y quién puede esperar?
La actuación inmediata es requerida para todos aquellos usuarios que estén utilizando las versiones vulnerables de Duplicator. La actualización tiene carácter urgente, especialmente en entornos donde se realizan migraciones frecuentes o se manipulan datos sensibles. Los usuarios que operan con versiones ya corregidas no necesitan preocuparse de inmediato, pero deben mantener sus instalaciones actualizadas. Es importante tener en cuenta que las pruebas de migración deben llevarse a cabo tras la creación de nuevos paquetes. Dicho de otra manera, antes de realizar una importación, es imperativo validar el contenido que se ejecutará y asegurarse de que no se utiliza código de versiones anteriores y vulnerables.
Sobre este contenido: WordPress Zaragoza utiliza automatización e inteligencia artificial para procesar novedades del ecosistema WordPress y convertirlas en análisis técnicos en español. Para cambios relevantes en producción, se recomienda contrastar siempre la información con la documentación oficial del proyecto, plugin o plataforma correspondiente.
Puedes consultar el artículo original aquí: https://www.wordfence.com/blog/2026/10/wordfence-argus-discovers-high-severity-unauthenticated-php-object-injection-in-duplicator/