Nombre del complemento	Sistema de Tickets de Soporte de WooCommerce
Tipo de vulnerabilidad	Eliminación arbitraria de archivos
Número CVE	CVE-2026-32522
Urgencia	Alto
Fecha de publicación de CVE	2026-03-22
URL de origen	CVE-2026-32522

Urgente: Eliminación Arbitraria de Archivos en el Plugin “Sistema de Tickets de Soporte de WooCommerce” (< 18.5) — Lo que los Propietarios de Sitios de WordPress Deben Hacer Ahora

El 20 de marzo de 2026 se publicó un aviso público para una eliminación arbitraria de archivos no autenticados vulnerabilidad que afecta al plugin Sistema de Tickets de Soporte de WooCommerce (versiones anteriores a 18.5). El problema se rastrea como CVE-2026-32522 y tiene una calificación de severidad alta (CVSS 8.6). La vulnerabilidad permite a un atacante eliminar archivos en el servidor web sin autenticación — una capacidad que a los atacantes les encanta porque puede romper sitios, eliminar rastros forenses o borrar archivos de registro para ocultar actividades posteriores.

Si ejecutas WordPress y usas este plugin (o gestionas sitios para clientes), trata esto como crítico en tiempo. Esta publicación explica, desde la perspectiva de un proveedor de seguridad de WordPress y firewall de aplicaciones web (WAF), qué es la vulnerabilidad, cómo puede ser abusada a gran escala, cómo detectar posibles explotaciones y mitigaciones prácticas — incluyendo parches virtuales inmediatos y pasos de endurecimiento a largo plazo que puedes aplicar hoy.

Nota: esta publicación está escrita desde la perspectiva del equipo de seguridad de WP‑Firewall con orientación experta y accionable. No incluye código de explotación ni instrucciones paso a paso que habilitarían a los atacantes.

---

Resumen de alto nivel (TL;DR)

• Vulnerabilidad: Eliminación arbitraria de archivos (no autenticada).
• Versiones afectadas: versiones del plugin < 18.5.
• Versión parcheada: 18.5 (actualiza inmediatamente).
• Riesgo: Alto (CVSS 8.6). Los atacantes pueden eliminar archivos del núcleo, activos de plugins/temas, cargas u otros archivos accesibles por la web — potencialmente sacando sitios de línea o eliminando evidencia.
• Acciones recomendadas inmediatas:
  1. Actualiza el plugin a 18.5 o posterior en todos los sitios.
  2. Si la actualización no es posible de inmediato, desactiva el plugin hasta que se parchee.
  3. Aplica parches virtuales basados en WAF para bloquear intentos de explotación (proporcionamos estrategias de reglas recomendadas a continuación).
  4. Inspecciona registros y copias de seguridad, prepara una respuesta a incidentes si encuentras eliminaciones sospechosas.
• Si tu sitio es gestionado por una agencia o proveedor, escálalo a ellos ahora.

---

Lo que significa “eliminación arbitraria de archivos” en este contexto

“Eliminación arbitraria de archivos” se refiere a una vulnerabilidad donde un atacante puede hacer que la aplicación elimine archivos elegidos por el atacante. En los plugins de WordPress, esto ocurre comúnmente cuando:

• Un plugin expone una función de eliminación de archivos del lado del servidor (por ejemplo, unlink(), rm, eliminar del sistema de archivos) que acepta un nombre de archivo/ruta proporcionado por el usuario.
• La función carece de un control de acceso adecuado (sin autenticación, autorización o verificaciones de capacidad).
• La entrada no se valida ni se sanitiza adecuadamente, lo que permite la exploración de directorios o rutas absolutas.
• El plugin no verifica si el archivo objetivo está dentro de un directorio esperado (falta de verificaciones de canonización).

Debido a que la vulnerabilidad en este aviso se describe como “no autenticada”, un atacante no necesita credenciales válidas de WordPress para activar la eliminación: el alcance para la explotación masiva es alto.

---

Causa raíz probable (técnica, pero concisa)

Basado en las características del aviso, la causa raíz es casi con certeza un punto final público o una acción AJAX que realiza la eliminación de archivos utilizando un parámetro de nombre de archivo/ruta proporcionado a través de HTTP (GET/POST). El código del lado del servidor probablemente:

• Expone una acción (por ejemplo, a través de admin-ajax.php o un punto final personalizado) que llama a una rutina de eliminación.
• Acepta un parámetro como archivo, nombre de archivo, ruta, o id_adjunto (o incluso un valor codificado).
• No verifica que el usuario esté autenticado y/o autorizado.
• No normaliza la ruta para asegurar que esté bajo un directorio permitido (por ejemplo, la carpeta de carga del plugin).
• No impone una lista blanca de nombres de archivos o extensiones permitidas.

Esta combinación le da a los atacantes la capacidad de eliminar archivos arbitrarios, a menudo a través de cadenas de exploración de directorios o rutas absolutas.

---

Lo que los atacantes pueden hacer (escenarios de ataque realistas)

• Eliminar archivos centrales de WordPress (por ejemplo, wp-config.php, archivos PHP centrales) para romper el sitio, causando tiempo de inactividad.
• Eliminar archivos de plugins o temas para deshabilitar controles de seguridad o puertas traseras.
• Borrar registros o artefactos forenses (por ejemplo, registros de acceso/error, registros de plugins), dificultando la detección.
• Borrar medios/cargas (imágenes, facturas, copias de seguridad almacenadas en la raíz web) — causando pérdida de datos.
• Alterar archivos del sitio para prepararse para ataques adicionales (por ejemplo, deshabilitar defensas, luego cargar una puerta trasera).
• Combinar la eliminación con tácticas de ransomware o extorsión: romper el sitio y pedir un pago.

Debido a que la vulnerabilidad no requiere autenticación y es fácil de automatizar, los atacantes a menudo escanean la web en busca de huellas de plugins vulnerables y envían solicitudes de eliminación en masa.

---

Quién está en riesgo

• Cualquier sitio de WordPress con la versión del plugin WooCommerce Support Ticket System inferior a 18.5.
• Agencias o hosts que gestionan múltiples instalaciones de WordPress donde se utiliza el plugin.
• Sitios con copias de seguridad insuficientes o separación de bajo privilegio entre el almacenamiento de archivos y el servidor web.

Incluso un sitio de bajo tráfico puede ser objetivo: a los atacantes no les importa el tráfico, buscan software vulnerable.

---

Acciones inmediatas (primeros 60–120 minutos)

1. Actualiza el plugin a la versión 18.5 o posterior (recomendado)
   Esta es la solución correcta y permanente. Aplica las actualizaciones a los sitios de producción y de staging lo antes posible.
2. Si no puedes actualizar de inmediato: desactiva el plugin
   Ve al administrador de Plugins de WordPress y desactiva el plugin. Si usas WP‑CLI:
   • wp plugin deactivate
3. Habilita WAF/parcheo virtual para detener los intentos de explotación
   Si tienes un WAF (gestionado o a nivel de plugin), activa reglas que bloqueen solicitudes a los puntos finales vulnerables y cargas útiles sospechosas (proporcionamos estrategias de reglas a continuación).
4. Toma una copia de seguridad fresca ahora
   Exporta una copia de seguridad completa (archivos + DB) antes de hacer cualquier otra cosa. Si el sitio muestra signos de compromiso, esta instantánea es crítica para la investigación y recuperación.
5. Busca en los registros actividad sospechosa
   Busca en los registros de acceso solicitudes POST/GET a puntos finales específicos del plugin, acciones admin-ajax.php, o parámetros que parezcan comandos de eliminación. Si ves tales solicitudes de IPs desconocidas, trátalas como una posible explotación y escalar.
6. Contacta a tu proveedor de hosting o desarrollador si no controlas el entorno. Comparte el CVE y pídeles que ayuden con la contención y el parcheo.

---

Detección: qué buscar en los registros y la telemetría

Configura búsquedas en los registros de Apache/Nginx/Cloudfront, registros de WAF y registros de WordPress para los siguientes patrones (los ejemplos están desarrollados conceptualmente: adapta a tus registros):

• Solicitudes HTTP a rutas de plugins:
  • /wp-content/plugins/woocommerce-support-ticket-system/*
  • /wp-content/plugins//ajax.php o puntos finales con términos obvios como “ticket”, “delete”, “attachment”
• Solicitudes HTTP a admin-ajax.php con nombres de acción sospechosos:
  • admin-ajax.php?action=… (busque acciones que sugieran eliminar adjuntos, tickets o archivos)
• Parámetros que contienen tokens de recorrido de ruta:
  • %2e%2e%2f o ../ o rutas de archivo absolutas (por ejemplo,. /etc/passwd o /home/.../wp-config.php) en la consulta/cuerpo
• Solicitudes que intentan eliminar archivos típicos de WordPress:
  • Solicitudes con parámetros que contienen wp-config.php, wp-config, wp-content/uploads, nombres de archivos de plugin/tema
• Aumento repentino en respuestas 200/204 a puntos finales relacionados con la eliminación
• Picos inesperados en 4xx/5xx en un corto período de tiempo, particularmente desde las mismas IPs

Ejemplo (idea de consulta de registro — adapte a su plataforma):

• Busque admin-ajax.php y el slug del plugin juntos:
  • grep "admin-ajax.php" access.log | grep "woocommerce-support-ticket-system"
• Busque parámetros sospechosos:
  • grep -E "(%2e%2e%2f|\.\./|wp-config|wp-content/uploads|/etc/passwd)" access.log

Si encuentra coincidencias en las últimas 24–72 horas, trate el sitio como posiblemente explotado y siga los pasos de respuesta a incidentes a continuación.

---

Estrategias recomendadas de WAF / parcheo virtual (aplique ahora)

Si gestiona un WAF de WP‑Firewall o cualquier otro firewall de aplicación web, implemente reglas en capas para mitigar la explotación hasta que el plugin sea actualizado:

1. Bloquee el acceso a los puntos finales públicos del plugin
   • Si el plugin expone una ruta específica de PHP o un endpoint, bloquea el acceso HTTP directo a esa ruta para clientes no autenticados.
   • Por ejemplo, bloquea las solicitudes GET/POST a /wp-content/plugins/woocommerce-support-ticket-system/* excepto desde IPs de administrador conocidas.
2. Bloquea acciones de eliminación no autenticadas.
   • Niega solicitudes a admin-ajax.php o endpoints REST que incluyan parámetros o valores de acción utilizados por el plugin para realizar eliminaciones, a menos que la solicitud esté autenticada (por ejemplo, tenga un nonce de WP válido o una cookie).
3. Previene la exploración de directorios / patrones de nombres de archivos sospechosos.
   • Bloquea solicitudes donde cualquier parámetro de nombre de archivo contenga. ../, %2e%2e%2f, o patrones de ruta absoluta.
   • Bloquea intentos de hacer referencia a nombres de archivos sensibles: wp-config.php, .htaccess, .env.
4. Limita la tasa y huella digitaliza los patrones de solicitud.
   • Aplica límites de tasa en endpoints que eliminan archivos para ralentizar la explotación masiva automatizada.
   • Usa heurísticas de comportamiento: múltiples intentos de eliminación en intervalos cortos, muchos nombres de archivos diferentes, el mismo agente de usuario en diferentes sitios.
5. Enfoque de comodín positivo para la validación de parámetros.
   • Si es posible, solo permite parámetros de eliminación que coincidan con una lista blanca segura (por ejemplo, IDs de adjuntos numéricos). Bloquea valores no numéricos o inusualmente largos que indiquen uso de ruta.
6. Registro y alerta
   • Registra intentos bloqueados con el contexto completo de la solicitud y alerta sobre disparadores repetidos.

Ejemplo de lógica de regla conceptual de WAF (abstracta y segura):

• Regla A: Si la ruta de la solicitud coincide con plugin-delete-endpoint Y (sin cookie de autenticación válida O falta nonce de WP) → BLOQUEAR y REGISTRAR.
• Regla B: Si el cuerpo de la solicitud o el parámetro de consulta contiene. ../ o %2e%2e%2f O hace referencia a. wp-config.php o /.env → BLOQUEAR y REGISTRAR.
• Regla C: Limita la tasa de solicitudes al endpoint a N solicitudes por minuto por IP; si se excede → BLOQUEAR y alertar.

Importante: Al crear reglas, prueba primero en modo de solo monitoreo para evitar falsos positivos que podrían bloquear a los administradores. Luego pasa a bloquear patrones maliciosos confirmados.

---

Consideraciones de WAF para entornos de WordPress

• Protege admin-ajax.php: Muchos plugins malutilizan admin-ajax.php para acciones AJAX y no imponen permisos. Bloquea o limita las solicitudes POST a admin-ajax.php donde el acción parámetro coincide con las acciones del plugin vulnerable.
• Protege las carpetas de plugins: Usa reglas de WAF más controles a nivel de servidor para prevenir el acceso directo a puntos de entrada PHP específicos de plugins.
• Bloquea las APIs de eliminación de archivos directos de fuentes no autenticadas: Regla genérica: denegar verbos HTTP y puntos finales que intenten eliminar archivos a menos que la solicitud esté autenticada y autorizada.

---

Cómo endurecer tu servidor y entorno de WordPress (pasos prácticos)

1. Endurecimiento del sistema de archivos
   • Limita los permisos del sistema de archivos. Los archivos críticos (wp-config.php, .htaccess) deben ser solo escribibles por el propietario y no escribibles por el usuario del servidor web cuando sea posible (por ejemplo, chmod 400/440 para wp-config.php).
   • Evita otorgar al usuario del servidor web acceso de escritura recursivo a todo el directorio wp-content. Restringe los permisos de escritura a la carpeta de uploads solo donde sea necesario.
   • Almacena copias de seguridad y archivos fuera del directorio raíz del servidor web.
2. Principio de mínimo privilegio
   • Ejecuta procesos PHP con un usuario que solo tenga acceso a los directorios requeridos.
   • Usa separación a nivel de SO entre cuentas de usuario para sitios al alojar múltiples sitios.
3. Reglas del servidor web
   • Usa .htaccess o reglas de configuración del servidor para denegar la ejecución directa de PHP en ciertos directorios (por ejemplo, uploads) y denegar el acceso a archivos sensibles conocidos.
   • Si el plugin expone un archivo que no debe ser público, restríngelo a través de configuraciones del servidor.
4. Mejores prácticas de WordPress
   • Mantener actualizado el núcleo de WordPress, los temas y los plugins.
   • Minimiza la huella del plugin: elimina plugins no utilizados y mantén solo los plugins que se mantengan activamente.
   • Aplica autenticación de dos factores para cuentas administrativas.
5. Copias de seguridad y retención
   • Mantén copias de seguridad regulares y automatizadas almacenadas fuera del servidor y copias inmutables cuando sea posible.
   • Prueba las restauraciones regularmente.

---

Si sospechas de un exploit — respuesta a incidentes y recuperación

1. Aísle el sitio
   • Si es posible, pon el sitio en modo de mantenimiento o bloquea el tráfico público mientras investigas.
2. Preservar las pruebas
   • Toma una instantánea del servidor (archivos y base de datos) antes de remediar más.
   • Recoge los registros del servidor web y de la aplicación, los registros del WAF y los registros de acceso para el período de tiempo del evento sospechoso.
3. Verifica si hay archivos faltantes/modificados.
   • Compara la lista de archivos actual con una copia de seguridad conocida como buena o un manifiesto de suma de verificación. Presta atención a wp-config.php, archivos de plugins/temas, cargas y cualquier archivo con tiempos de modificación recientes.
4. Restaura desde una copia de seguridad limpia.
   • Si faltan archivos vitales y tienes una copia de seguridad limpia, restaura el sitio a un estado conocido como bueno. No restaures copias de seguridad que puedan estar comprometidas.
5. Rotar credenciales
   • Cambia todas las contraseñas administrativas de WordPress, credenciales de base de datos, claves API y cualquier otro secreto que pueda haber sido expuesto o utilizado.
6. Escanear en busca de puertas traseras
   • Usa un escáner de malware para buscar puertas traseras PHP o shells web. Limpia o reemplaza archivos infectados.
7. Vuelva a aplicar actualizaciones y endurecimiento.
   • Actualiza el plugin vulnerable a la versión corregida, vuelve a habilitar solo después de confirmar que no quedan puertas traseras.
   • Reintroduce las protecciones del WAF y continúa con un monitoreo estricto.
8. Notifica a las partes interesadas
   • Informa a los usuarios, anfitriones o clientes afectados según tu política de notificación y requisitos legales.

---

Monitoreo y detección continua después de la remediación.

• Mantén las reglas del WAF en su lugar (o en un modo de monitoreo/alerta) incluso después de aplicar parches.
• Configura alertas para:
  • Nuevos 404 o 500 durante escaneos rutinarios del sitio.
  • Cambios en el sistema de archivos: eventos inesperados de archivo/modificación en wp-content, cargas y raíz.
  • Intentos repetidos de acceder a puntos finales bloqueados.
• Implementa monitoreo de integridad de archivos (FIM) para detectar eliminaciones repentinas o cambios no autorizados.

---

Si eres un desarrollador: evita estos errores comunes (lista de verificación de codificación segura).

• Nunca realices operaciones de eliminación de sistema de archivos directamente en la entrada proporcionada por el usuario sin canonización y verificaciones de lista blanca.
• Valida y canoniza rutas utilizando APIs del lado del servidor; asegúrate de que el archivo de destino esté dentro de un directorio permitido antes de eliminar.
• Requerir autenticación y verificar la capacidad (por ejemplo, current_user_can('eliminar_publicaciones') o capacidad personalizada) para cualquier acción destructiva.
• Utilizar nonces o verificación basada en tokens para AJAX/puntos finales que cambian el estado y verificarlos en el servidor.
• Evitar exponer puntos finales genéricos que acepten nombres de archivos arbitrarios; preferir IDs numéricos que el servidor resuelva a una ruta de archivo segura.
• Registrar eliminaciones e incluir el contexto del usuario o de la solicitud para auditoría; no suprimir registros importantes relevantes para la seguridad.

---

Cómo ayuda WP‑Firewall (parcheo virtual, monitoreo y asistencia de recuperación)

En WP‑Firewall tratamos vulnerabilidades como esta con un enfoque en capas:

1. Parches virtuales rápidos
   Creamos reglas WAF personalizadas que bloquean los vectores de explotación específicos (parámetros sospechosos, patrones de acceso a puntos finales e intentos de recorrido de directorios) para que los sitios permanezcan protegidos hasta que puedan ser actualizados. Los parches virtuales se implementan de manera central y pueden mitigar campañas de escaneo masivo.
2. Protecciones conductuales
   La limitación de tasa, la huella digital de solicitudes y la detección de anomalías reducen el éxito de los intentos de explotación automatizados. Incluso si el punto final existe, se identifican y mitigan los patrones de abuso.
3. Monitoreo de integridad de archivos y orientación para remediación
   Nuestras herramientas pueden ayudar a detectar archivos faltantes y cambios anómalos en archivos y proporcionar orientación paso a paso para la recuperación o restauración desde una copia de seguridad.
4. Soporte para incidentes
   Si sospechas de un compromiso, nuestros procesos de soporte y manuales de incidentes te guían a través de la contención, la recolección de evidencia y la recuperación limpia.

Si no tienes un WAF gestionado frente a tu sitio de WordPress, una vulnerabilidad no autenticada como esta puede ser explotada rápidamente por herramientas de escaneo automatizadas. Los parches virtuales proporcionan protección inmediata hasta que se instale la solución a nivel de código.

---

Mitigaciones prácticas no WAF que puedes aplicar si no puedes actualizar ahora

• Desactiva el plugin.: la solución a corto plazo más segura es desactivar el plugin hasta que puedas actualizarlo.
• Restringa el acceso a los archivos del plugin.: agregar reglas del servidor que nieguen el acceso público a los puntos de entrada PHP del plugin. Por ejemplo, negar solicitudes a un archivo PHP específico del plugin a menos que la solicitud provenga de una IP de administrador conocida. (Advertencia: ten cuidado con las restricciones de IP si los administradores tienen IPs dinámicas.)
• Reforzar los permisos de archivo: hacer que los archivos sensibles sean de solo lectura donde sea práctico. Pero prueba a fondo ya que algunos plugins requieren legítimamente acceso de escritura.
• Utilizar listas de permitidos del lado del servidor: si el plugin ofrece filtros/ganchos para anular el comportamiento de eliminación (algunos plugins lo hacen), agrega código personalizado para negar solicitudes de eliminación a menos que cumplan con verificaciones estrictas (por ejemplo, permitir solo la eliminación por usuarios conectados con una capacidad).

---

Recomendaciones programáticas a largo plazo para anfitriones y operadores de sitios

• Mantener un WAF en tiempo de ejecución o seguridad en el borde que pueda implementar actualizaciones de reglas rápidamente en los sitios de los clientes.
• Ofrecer actualización automática para plugins que tengan correcciones de seguridad, idealmente con pruebas canarias y reversión.
• Proporcionar instantáneas de integridad de archivos por sitio y flujos de trabajo de restauración rápida que no requieran restauraciones completas del servidor.
• Educar a los clientes sobre la higiene de seguridad de los plugins: eliminar plugins no utilizados, preferir plugins mantenidos activamente, probar actualizaciones en staging.

---

Manual de detección: consultas y alertas que puedes implementar hoy

Agrega estas ideas de detección a tu pila de monitoreo (elk, splunk, registros en la nube, registros de hosting):

• Alertar cuando cualquier solicitud a /wp-content/plugins/woocommerce-support-ticket-system/* resulte en un HTTP 200 para una acción de eliminación.
• Alertar cuando admin-ajax.php reciba solicitudes POST que contengan sospechas acción valores (o parámetros del cuerpo) vinculados a rutinas de eliminación.
• Alertar sobre solicitudes que contengan ../, %2e%2e%2f, rutas absolutas o nombres de archivos sensibles en la consulta o el cuerpo de la solicitud.
• Programar una verificación diaria comparando el manifiesto de archivos actual con el último manifiesto conocido; alertar sobre cualquier eliminación inesperada.

---

Preguntas frecuentes

P: Si mi sitio fue atacado pero el atacante solo eliminó archivos de plugins, ¿recuperará WordPress?
A: Si se eliminan archivos de plugins, generalmente puedes reinstalar el plugin y restaurar configuraciones desde copias de seguridad. Pero si se eliminan archivos críticos (por ejemplo, wp-config.php o cargas personalizadas) o se instalaron puertas traseras antes de la eliminación, el sitio podría estar en un estado más complejo. Siempre realiza un escaneo completo de integridad después de la restauración.

P: ¿Pueden los permisos del sistema de archivos por sí solos prevenir esto?
A: Los permisos adecuados reducen el riesgo pero no son infalibles. Un plugin vulnerable que se ejecute bajo el usuario del servidor web aún puede eliminar archivos a los que el usuario del servidor web puede escribir. La defensa en profundidad (actualizaciones + WAF + copias de seguridad + permisos) es el enfoque correcto.

P: ¿Será suficiente simplemente desactivar el acceso a admin-ajax.php?
A: No siempre. Algunos plugins dependen de admin-ajax para funcionalidad legítima. Bloquear admin-ajax por completo puede romper características. Se prefieren reglas de WAF dirigidas que bloqueen solo los patrones o puntos finales maliciosos.

---

Lista de verificación final: lista de tareas inmediata para cada propietario de un sitio de WordPress

1. Identifique todos los sitios que utilizan el plugin del Sistema de Tickets de Soporte de WooCommerce.
2. Actualice cada instalación a la versión 18.5 o posterior de inmediato.
3. Si no puedes actualizar de inmediato, desactiva el plugin.
4. Aplique reglas de WAF o parches virtuales para bloquear los puntos finales de eliminación y los intentos de recorrido de directorios.
5. Realice una copia de seguridad completa (archivos + DB) ahora y guárdela fuera del servidor.
6. Busque en los registros intentos de eliminación sospechosos e indicadores descritos anteriormente.
7. Ejecute un escaneo de integridad de archivos/malware y busque puertas traseras si se encuentra actividad sospechosa.
8. Endurezca los permisos de archivos, restrinja el acceso a archivos sensibles e implemente registros.
9. Configure monitoreo y alertas continuas para los patrones anteriores.

---

Comience a proteger su sitio con WP‑Firewall (plan gratuito)

Comience a proteger su sitio con el plan WP‑Firewall Basic (gratuito)

Si desea protección inmediata con un camino de incorporación fácil, el plan Basic (gratuito) de WP‑Firewall proporciona protecciones gestionadas esenciales que ayudan a detener campañas de explotación masiva como esta mientras usted aplica parches:

• Protección esencial: firewall gestionado, ancho de banda ilimitado, WAF a nivel de aplicación.
• Escáner de malware y mitigación continua de los riesgos del OWASP Top 10.
• Parches virtuales rápidos para bloquear vectores de explotación conocidos hasta que se apliquen correcciones a nivel de código.

Regístrese en el plan gratuito y obtenga un conjunto de reglas de WAF gestionadas que protegen sus sitios de WordPress de inmediato:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Si necesita eliminación automatizada de malware, controles de lista blanca/negra, o parches virtuales automáticos a través de una agencia o múltiples sitios, los planes de pago incluyen esas capacidades y están preciosos para agencias y empresas.)

---

Reflexiones finales

Las vulnerabilidades de eliminación arbitraria de archivos son una de las clases más destructivas de errores en aplicaciones web porque apuntan directamente a la integridad y disponibilidad de su sitio. Abordarlas requiere rapidez: parchee el plugin a 18.5 ahora, y si no puede hacerlo, aplique parches virtuales de inmediato y aísle el punto final vulnerable.

En WP‑Firewall recomendamos un enfoque en capas: correcciones de código + parches virtuales de WAF + endurecimiento del servidor + copias de seguridad + monitoreo. Esta combinación evita que los atacantes aprovechen rápidamente una vulnerabilidad y le da tiempo para aplicar una remediación permanente.

Si necesita ayuda para implementar reglas de WAF, escanear sitios en busca de indicadores de compromiso o ejecutar respuesta a incidentes, el equipo de WP‑Firewall puede ayudar. Proteja sus sitios ahora y trate la seguridad del plugin como una preocupación operativa continua, no como una tarea única.