Nombre del complemento	WooCommerce PDF Invoices, Packing Slips, Delivery Notes y Shipping Labels
Tipo de vulnerabilidad	Divulgación de información
Número CVE	CVE-2026-49056
Urgencia	Medio
Fecha de publicación de CVE	2026-06-05
URL de origen	CVE-2026-49056

Exposición de Datos Sensibles en el plugin “WooCommerce PDF Invoices, Packing Slips, Delivery Notes y Shipping Labels” (≤ 4.9.4) — Lo que los propietarios de sitios de WordPress deben hacer ahora

Una guía práctica y experta de WP‑Firewall sobre la reciente vulnerabilidad de exposición de datos sensibles (CVE-2026-49056) en el plugin WooCommerce PDF Invoices, Packing Slips, Delivery Notes y Shipping Labels. Explicación de riesgos, escenarios de explotación, detección, mitigaciones a corto y largo plazo, reglas de WAF, endurecimiento del lado del servidor y pasos de recuperación — con instrucciones claras y paso a paso.

Autor: Equipo de seguridad de WP-Firewall
Fecha: 2026-06-05

NOTA: Esta publicación está escrita desde la perspectiva de profesionales de seguridad de WordPress con experiencia. Si su sitio utiliza el plugin “WooCommerce PDF Invoices, Packing Slips, Delivery Notes y Shipping Labels” y la versión instalada es 4.9.4 o anterior, trate esto como una tarea de seguridad urgente.

TL;DR (la lista de verificación corta y urgente)

• Vulnerabilidad: Exposición de Datos Sensibles (CVE-2026-49056) que afecta a las versiones del plugin ≤ 4.9.4.
• Severidad: CVSS ~7.5 (Riesgo Medio / Alto de filtración de datos); puede ser posible el acceso no autenticado.
• Acción inmediata: Actualice el plugin a 4.9.5 o posterior lo antes posible (idealmente dentro de 24 horas).
• Si no puede actualizar de inmediato: aplique restricciones de WAF, restrinja el acceso a los puntos finales del plugin, desactive el plugin temporalmente y monitoree los registros.
• Post-actualización: rote cualquier credencial expuesta, escanee en busca de indicadores de compromiso (IoCs), verifique las copias de seguridad y notifique a las partes interesadas si se filtraron datos.

---

Lo que sucedió (lenguaje sencillo)

Se divulgó una vulnerabilidad en el popular plugin WooCommerce PDF Invoices, Packing Slips, Delivery Notes y Shipping Labels. El problema afecta a las versiones del plugin hasta e incluyendo 4.9.4 y se clasifica como una vulnerabilidad de Exposición de Datos Sensibles (OWASP A3), rastreada públicamente como CVE-2026-49056.

En términos prácticos, eso significa que un atacante puede acceder a documentos PDF, datos de facturación, notas de entrega, etiquetas de envío u otra información de clientes/pedidos que no debería ser accesible públicamente. Debido a que estos documentos suelen contener nombres de clientes, direcciones, números de teléfono, artículos de pedido y, a veces, detalles de facturación (o partes de metadatos de pago), el riesgo es la filtración de Información Personalmente Identificable (PII) y datos de pedidos sensibles para el negocio.

Este es un problema sensible al tiempo. Las vulnerabilidades que exponen datos son atractivas para herramientas de scraping automatizadas y atacantes que realizan campañas de explotación masiva. Si ejecuta WooCommerce y utiliza este plugin, tome las medidas de remediación a continuación de inmediato.

---

Por qué esto es peligroso (escenarios de amenaza)

Los documentos sensibles producidos por plugins de facturación/recibo son objetivos de alto valor. Algunos escenarios de ataque realistas:

• Un scraper automatizado encuentra un punto final público o insuficientemente protegido e itera a través de IDs de pedido (o manipula parámetros de solicitud) para descargar facturas de muchos clientes. Resultado: una gran filtración de datos.
• Un atacante no autenticado aprovecha una vulnerabilidad que permite la generación o recuperación de PDF sin verificar los permisos del usuario (propietario del pedido o administrador). Resultado: robo dirigido de la información de facturación y envío de un individuo (fraude de identidad, toma de control de cuenta).
• Los atacantes combinan direcciones de envío expuestas con otras fuentes de datos para llevar a cabo ataques de ingeniería social o phishing contra los clientes.
• Los datos cosechados de las facturas (detalles del pedido, IDs de productos, compras de alto valor) se monetizan en la dark web o se utilizan para cometer fraude (fraude de devolución, contracargos, estafas de reventa dirigidas).

Incluso si la vulnerabilidad no revela números de tarjeta completos, la filtración de nombres, direcciones, números de teléfono, correos electrónicos y detalles de pedidos sigue siendo material y debe ser tratada como un riesgo de violación.

---

¿A quién afecta?

• Cualquier sitio de WordPress que utilice el plugin WooCommerce PDF Invoices, Packing Slips, Delivery Notes and Shipping Labels con la versión 4.9.4 o anterior.
• Sitios donde el plugin genera o muestra PDFs accesibles a través de URLs o puntos finales predecibles (REST, AJAX, llamadas directas a scripts PHP).
• Redes multisite donde el plugin está activado en la red y no se actualiza en todas partes.

Si no estás seguro de qué versión estás utilizando, consulta la sección “Cómo confirmar si estás afectado” a continuación.

---

Cómo confirmar si estás afectado

1. Administrador de WordPress
   • Ve a Plugins → Plugins instalados y verifica la versión del plugin. Si es 4.9.4 o anterior, estás afectado.
2. WP-CLI
   • Ejecuta: wp plugin list --fields=name,status,version | grep -i invoices
   • O específicamente: wp plugin get print-invoices-packing-slip-labels-for-woocommerce --field=version
3. Verificación de archivos
   • Abre el archivo PHP principal del plugin (en wp-content/plugins/print-invoices-packing-slip-labels-for-woocommerce/) e inspecciona la cadena de versión del encabezado.
4. Panel de control de hosting / copia de seguridad
   • Mira las copias de seguridad o copias de staging para identificar la versión del plugin si el acceso de administrador es limitado.

Si confirmas que se ha instalado una versión vulnerable, prioriza la remediación.

---

Pasos de mitigación inmediata (qué hacer en las próximas 24 horas)

1. HAZ UNA COPIA DE SEGURIDAD PRIMERO
   • Crea una copia de seguridad completa del sitio (archivos + base de datos) antes de realizar cambios. Almacénala fuera de línea o externa al servidor.
2. Actualiza el plugin a 4.9.5 o posterior
   • El proveedor ha publicado una versión corregida (4.9.5). Actualiza a través del Panel de control → Plugins → Actualizar o a través de WP-CLI:

     wp plugin actualizar print-invoices-packing-slip-labels-for-woocommerce

   • Si mantienes múltiples entornos, actualiza primero el staging, prueba la generación de PDF y los flujos de pedidos, luego actualiza producción.
3. Si no puedes actualizar de inmediato, desactiva temporalmente el plugin.
   • Desactiva desde el administrador de WordPress o ejecuta:

     wp plugin desactivar print-invoices-packing-slip-labels-for-woocommerce

   • La desactivación detendrá la generación de PDF y la mayoría de los puntos finales del plugin. Comunica a los clientes si esto causa una pérdida temporal de generación de facturas.
4. Implementa controles WAF rápidos / restringe el acceso
   • Usa tu firewall de aplicación web (WAF) para bloquear o restringir el acceso a los puntos finales del plugin hasta que se complete el parcheo. Consulta las recetas de WAF más adelante en esta guía para reglas concretas.
5. Endurece el acceso a archivos y puntos finales a través de reglas del servidor
   • Usa Apache .htaccess o configuración de nginx para bloquear el acceso externo directo a los puntos finales PHP del plugin o directorios de salida de PDF que no están destinados a ser públicos. Ejemplos de reglas proporcionados a continuación.
6. Aumentar la monitorización y el registro
   • Activa el registro de acceso detallado para las rutas del plugin, observa picos en solicitudes GET/POST y establece alertas para grandes volúmenes de descargas o solicitudes que contengan parámetros sospechosos.
7. secretos rotativos
   • Si sospechas que alguna credencial o clave API pasada a servicios de envío/pago puede haber sido expuesta, cámbiala. Como mínimo, cambia las contraseñas administrativas y cualquier token utilizado por servicios en segundo plano que interactúan con pedidos.

---

Sugerencias prácticas de reglas WAF (firewall de aplicación web)

A continuación se presentan reglas WAF pragmáticas que reducen rápidamente la superficie de ataque. Estos son plantillas: adapta a la estructura de tu sitio, puntos finales del plugin y patrones de tráfico. Si usas un WAF administrado, pide soporte para aplicar estas reglas y monitorear falsos positivos.

Importante: Un WAF puede reducir el riesgo, pero puede no mitigar completamente cada variante de esta vulnerabilidad. La prioridad sigue siendo actualizar el plugin.

1) Bloquear el acceso directo a los archivos PHP del plugin que generan PDFs (ejemplo de Apache mod_rewrite)

Coloca en la raíz de tu sitio .htaccess (ajusta la ruta del plugin si es diferente):

# Restringir el acceso directo a los puntos finales de PHP del plugin conocidos

2) Ejemplo de Nginx para bloquear el acceso a la carpeta del plugin para usuarios no conectados

location ~* ^/wp-content/plugins/print-invoices-packing-slip-labels-for-woocommerce/ {

3) Bloquear escáneres automáticos sospechosos y agentes de usuario conocidos

• Limitar la tasa de solicitudes a los puntos finales que generan PDFs (por ejemplo, /?print_invoice= o puntos finales AJAX/REST específicos del plugin).
• Aplicar reglas para bloquear o desafiar (Captcha) patrones de tráfico sospechosos.

4) Bloquear el acceso directo a parámetros de consulta específicos o puntos finales REST

Si el plugin acepta parámetros de solicitud como order_id= o pdf= para la obtención pública, configurar el WAF para rechazar solicitudes donde esos parámetros estén presentes sin una cookie de autenticación válida o nonce.

Regla pseudo-WAF:

• SI la ruta de la solicitud coincide /wp-json/* o /wp-admin/admin-ajax.php* y la consulta contiene invoice, pdf, order_id
• Y no hay una cookie WP nonce válida presente
• ENTONCES bloquear o desafiar (401/403 o captcha)

5) Denegar el acceso público a los directorios de PDF generados

Si el plugin almacena PDFs en un directorio público, bloquear la lista de directorios y el acceso a esos archivos a menos que se sirvan a través del flujo de plugin autenticado.

Apache:

# Deshabilitar la lista de directorios

6) Limitación de tasa

Implementar un estricto límite de tasa para los puntos finales utilizados para producir facturas. Muchos ataques dependen del acceso de fuerza bruta de baja latencia a muchos identificadores de pedido.

• Ejemplo: limitar a 60 solicitudes cada 15 minutos por IP a los puntos finales de facturación.

---

Opciones de endurecimiento a nivel de servidor (mitigaciones temporales adicionales)

• Desactivar la ejecución directa de PHP dentro de la carpeta del plugin si el plugin no lo requiere (ten cuidado: esto puede romper el comportamiento del plugin).
• Usar permisos del sistema de archivos: asegurarse de que los archivos del plugin no sean escribibles por el mundo. Permisos típicos: archivos 644, carpetas 755.
• Proteger directorios de salida sensibles con autenticación HTTP básica (medida temporal): permitir solo al personal autorizado acceder a los PDFs de facturas.
• Asegurarse de que su sitio use HTTPS y HSTS (esto no solucionará la vulnerabilidad, pero previene la interceptación durante el transporte).
• Asegurarse de que PHP, MySQL y los paquetes de su sistema operativo estén actualizados.

---

Cómo los atacantes explotarían esto típicamente (visión técnica)

• Descubrimiento: Los escáneres automatizados enumeran los slugs comunes de plugins y los puntos finales conocidos, probando la recuperación de datos basada en parámetros.
• Acceso: Si el plugin no verifica adecuadamente la propiedad o capacidad del usuario actual para un pedido/factura dada, una solicitud no autenticada puede devolver el PDF o la salida JSON.
• Enumeración: Los atacantes iteran sobre los IDs de pedido o utilizan la exploración de directorios para obtener múltiples documentos.
• Exfiltración: El atacante descarga lotes de facturas y las utiliza externamente para defraudar o vender datos.

Debido a que muchas tiendas de WordPress utilizan numeración predecible para los pedidos, la enumeración es trivial para un atacante dado el punto final correcto. Por eso, el límite de tasa y las comprobaciones de autenticación adecuadas son medidas de contención cruciales.

---

Indicadores de Compromiso (IoCs) — qué buscar

• Picos inusuales en solicitudes GET a:
  • /wp-content/plugins/print-invoices-packing-slip-labels-for-woocommerce/…
  • solicitudes admin-ajax.php que contienen parámetros de factura/recogida/entrega
  • Puntos finales REST bajo /wp-json/ que hacen referencia a rutas de factura, embalaje o entrega
• Múltiples respuestas 200 para descargas de PDF desde una sola IP a través de muchos IDs de pedido (o desde IPs distribuidas con el mismo User-Agent).
• Solicitudes con secuenciales id_pedido valores en cadenas de consulta.
• Solicitudes de larga duración o repetidas que causan alta CPU al generar PDFs (la generación de PDFs es intensiva en CPU).
• Transferencias de datos salientes inesperadas o entradas de registro inusuales inmediatamente después de la ventana de vulnerabilidad.
• Quejas de clientes sobre phishing o detalles de pedidos filtrados.

Si encuentras estas señales, asume que los datos pueden haber sido accedidos y sigue la sección “Si has sido vulnerado” a continuación.

---

Si has sido vulnerado — pasos inmediatos y de seguimiento

1. Aislar y contener
   • Desactiva el plugin vulnerable y cualquier clave API remota que interfiera específicamente con el plugin si es posible.
   • Pon el sitio en modo de mantenimiento si es apropiado.
2. Preservar las pruebas
   • Exporta y preserva los registros (servidor web, aplicación, base de datos) y una copia de seguridad completa para análisis forense.
   • Anota las marcas de tiempo de eventos sospechosos y direcciones IP.
3. Rotar credenciales
   • Restablece todas las contraseñas de usuarios administradores de WordPress y cualquier cuenta de usuario con privilegios elevados.
   • Rota las claves API (proveedores de pago/envío) si se expusieron o están potencialmente conectadas a datos filtrados.
4. Notifique a las partes afectadas
   • Si se expuso PII, prepara un plan de comunicación para los clientes siguiendo tus obligaciones legales/regulatorias. Verifica las regulaciones locales de notificación de violaciones.
   • Sé transparente pero evita el pánico: explica lo que sucedió, lo que has hecho y los pasos que los clientes pueden tomar (sugerencias para cambiar contraseñas, monitoreo de fraude).
5. Escanea y elimina amenazas
   • Escanea el sitio web y el servidor en busca de puertas traseras o scripts plantados — los atacantes a veces añaden mecanismos de persistencia.
   • Utiliza una combinación de escáneres de malware automáticos y revisiones manuales de código.
6. Revisar y endurecer
   • Revisa los registros para determinar el marco temporal y el alcance de la violación.
   • Aplica la actualización del plugin o una mitigación alternativa, luego ejecuta escaneos de seguridad para asegurar que no queden restos.
   • Considera una auditoría de seguridad si la brecha fue a gran escala.
7. Post-mortem
   • Documenta el incidente: causa raíz, cronología, mitigaciones, lecciones aprendidas.
   • Actualiza los manuales de respuesta a incidentes.

---

Recomendaciones de seguridad a largo plazo

• Mantén los plugins y temas actualizados; idealmente, habilita actualizaciones automáticas para lanzamientos menores; programa revisiones rutinarias para actualizaciones importantes.
• Audita los plugins instalados regularmente, elimina plugins y temas no utilizados.
• Utiliza prácticas de desarrollo seguro para temas personalizados o modificaciones de plugins (verificaciones de capacidad, nonces, verificaciones de privilegios).
• Implementa el principio de menor privilegio para los roles de usuario: administradores solo para cuentas necesarias.
• Emplea autenticación multifactor (MFA) para todas las cuentas de administrador.
• Mantén copias de seguridad fuera del sitio con retención y pruebas periódicas de restauración.
• Utiliza un WAF con opciones de personalización de reglas y parches virtuales para que puedas reducir el riesgo de inmediato cuando se descubren nuevas vulnerabilidades.
• Realiza escaneos de seguridad periódicos y escaneos automáticos de vulnerabilidades en tu entorno.

---

Ejemplos de consultas de detección y verificaciones de registros.

• Registro de acceso de Apache (grep para actividad sospechosa):

  grep -E "print-invoices|packing-slip|delivery-note|invoice|order_id" /var/log/apache2/access.log*

• Verifica descargas de pedidos secuenciales:

  awk '{print $1, $7, $9, $12}' /var/log/apache2/access.log | grep -E "order_id|invoice" | sort | uniq -c | sort -nr

• Busca un gran volumen de PDFs solicitados desde la misma IP:

  awk '$9 == 200 && $7 ~ /\.pdf/ {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr

---

Cómo WP‑Firewall ayuda (características prácticas que te protegen)

En WP‑Firewall operamos desde el punto de vista de defender sitios de WordPress en vivo y remediar rápidamente:

• Cortafuegos gestionado y WAF que pueden bloquear/mitigar el tráfico que apunta a puntos finales de plugins vulnerables.
• Escáner de malware y escaneos programados para detectar archivos o cargas inusuales.
• Monitoreo y alertas en tiempo real para picos en solicitudes a puntos finales sensibles.
• Mitigación de los riesgos del OWASP Top 10 (incluyendo A3 Exposición de Datos Sensibles) como parte de la protección básica.
• Parchado virtual automático (disponible en niveles superiores) — en muchos casos podemos implementar reglas temporales que bloquean vectores de explotación mientras aplicas parches del proveedor.
• Soporte y orientación para la respuesta a incidentes y limpieza.

Nota: El parchado virtual y las reglas de WAF reducen la exposición, pero deben combinarse con el parcheo del propio plugin para una solución permanente.

---

Ejemplos concretos: reglas del servidor y comandos de WP-CLI

• Actualiza el plugin a través de WP-CLI:

  # Actualiza el plugin de forma segura
  

• Desactivar plugin:

  wp plugin deactivate print-invoices-packing-slip-labels-for-woocommerce --allow-root
  

• Lista de detalles del plugin:

  wp plugin list --fields=name,version,status | grep -i 'invoice'
  

• Bloquear la carpeta del plugin a través de .htaccess (ejemplo, repetir la importancia de las pruebas):

  # Pon esto en el .htaccess del sitio (haz una copia de seguridad primero)
  

• Fragmento de bloqueo de Nginx (insertar en el bloque server{}):

  location ^~ /wp-content/plugins/print-invoices-packing-slip-labels-for-woocommerce/ {
  

Ten cuidado: estas reglas son medidas defensivas temporales. Pueden romper flujos legítimos (por ejemplo, generación basada en webhook). Prueba en staging.

---

Cronograma para la respuesta (cadencia recomendada)

• Dentro de 1 hora
  • Confirme si su sitio utiliza el plugin y la versión. Haga una copia de seguridad instantánea inmediata.
  • Si es posible, actualice el plugin a 4.9.5.
• Dentro de 24 horas
  • Si la actualización no fue posible de inmediato, desactive el plugin o aplique restricciones de WAF y reglas del servidor.
  • Comience a monitorear los registros en busca de IoCs descritos anteriormente.
• Dentro de 72 horas
  • Complete la actualización completa y verifique la funcionalidad.
  • Rote cualquier credencial potencialmente afectada y verifique las copias de seguridad.
  • Notifique a los usuarios afectados si confirmó la exposición de datos.
• Dentro de 2 semanas
  • Realice un escaneo y auditoría exhaustivos para confirmar que no hay puertas traseras persistentes.
  • Actualice las políticas de seguridad y la automatización (actualizaciones automáticas donde sea seguro, escaneos programados).

---

Cómo probar que la solución funcionó

1. Confirme que el plugin se actualizó a 4.9.5 o posterior.
2. Intente reproducir la explotación original en un entorno de pruebas (no realice ataques en producción). Si el proveedor ha publicado una prueba de concepto o código corregido, pruebe el comportamiento corregido.
3. Verifique que todos los puntos finales devuelvan las verificaciones de autenticación esperadas:
   • Las solicitudes de PDFs deben devolver 401/403 si no están autenticadas o no poseen el pedido.
4. Revise los registros del servidor web después de implementar la actualización para asegurarse de que no haya respuestas 200 anormales a puntos finales similares a facturas desde IPs aleatorias.

Si no se siente cómodo realizando estas pruebas, contrate a un profesional de seguridad.

---

Comunicándose con clientes o partes interesadas

Si determina que se expusieron datos:

• Prepare una declaración factual concisa:
  • Qué ocurrió (breve),
  • Qué elementos de datos fueron expuestos (si se conocen),
  • Qué has hecho (parcheado, desactivado el plugin, rotado claves),
  • Qué deben hacer tus clientes (monitorear estados de cuenta bancarios, restablecer contraseñas si es aplicable),
  • Detalles de contacto para soporte al cliente.
• Cumple con los requisitos legales para la notificación de violaciones en tu jurisdicción (los plazos varían según el país y la industria).

---

Ejemplo de preguntas frecuentes (respuestas rápidas)

P: Actualicé a 4.9.5 — ¿estoy seguro?
R: Actualizar cierra la vulnerabilidad específica. Después de actualizar, verifica también que no haya signos de explotación previa (revisión de registros, escaneos). Si aplicaste reglas de WAF, puedes eliminar las temporales después de revisiones exhaustivas.

P: No puedo actualizar debido a personalizaciones — ¿qué debo hacer?
R: Desactiva temporalmente el plugin o aplica reglas estrictas de WAF y protecciones a nivel de servidor. Si se requieren personalizaciones, prueba la versión parcheada en un entorno de pruebas y planifica un camino de actualización seguro.

P: ¿Puede un WAF protegerme completamente en lugar de aplicar parches?
R: Un WAF es una capa importante y puede bloquear intentos de explotación en muchos escenarios, pero no es un sustituto de parchear. Aplica protecciones de WAF mientras programas la actualización; parchear sigue siendo la solución permanente.

---

Lista de verificación de detección y recuperación (una página)

• Hacer una copia de seguridad del sitio (archivos + DB).
• Identifica la versión del plugin (≤4.9.4?) — si es así, procede con urgencia.
• Actualiza el plugin a 4.9.5 o posterior (prueba primero en el entorno de pruebas).
• Si la actualización no es posible de inmediato, desactiva el plugin o aplica reglas de WAF/servidor.
• Rota las contraseñas de administrador y las claves de API donde sea apropiado.
• Busca en los registros descargas sospechosas y enumeración de órdenes.
• Escanea el sitio en busca de malware/puertas traseras y elimina cualquier hallazgo.
• Notifica a los clientes si se expuso PII; cumple con los requisitos legales.
• Asegurar el sitio: MFA, privilegio mínimo, parches programados.
• Considerar protección gestionada a largo plazo y auditorías de seguridad regulares.

---

Una nota de WP‑Firewall: La protección más fácil comienza aquí

Proteger las tiendas de WordPress de vulnerabilidades de exposición de datos sensibles requiere velocidad y controles confiables. Si deseas una protección básica inmediata y una opción para reducir la exposición mientras aplicas parches del proveedor, considera comenzar con el plan Básico (gratis) de WP‑Firewall que incluye protección esencial: un firewall gestionado, ancho de banda ilimitado, WAF, escáner de malware y mitigación para los riesgos del OWASP Top 10.

Comienza un plan gratuito y asegura tu tienda ahora

Si necesitas características más avanzadas (eliminación automática de malware, controles de lista negra/lista blanca, informes de seguridad mensuales y parches virtuales automáticos), nuestros niveles superiores ofrecen esas capacidades, pero el plan Básico gratuito es una forma rápida de obtener una protección básica más fuerte hoy.

---

Reflexiones finales: la prevención supera a la reacción

Esta vulnerabilidad es un recordatorio oportuno de que los plugins de comercio electrónico que manejan facturas y documentos de envío contienen datos sensibles de clientes y deben ser tratados como activos críticos. La aplicación rápida de parches es la defensa más confiable, pero la seguridad en capas reduce tu ventana de exposición:

• Mantén los sistemas actualizados,
• Restringe el acceso a los puntos finales que producen datos,
• Monitorea los registros y establece alertas,
• Y utiliza un WAF para mitigar los intentos de explotación pública mientras aplicas parches.

Si necesitas asistencia con mitigación inmediata, creación de reglas WAF personalizadas o revisión forense después de una posible violación, el equipo de seguridad de WP‑Firewall está disponible para ayudar. Actuar rápidamente limita el daño, preserva la confianza del cliente y reduce el riesgo regulatorio.

Mantente seguro y, por favor, prioriza aplicar el parche del proveedor (4.9.5+) como tu solución principal.

— Equipo de seguridad de firewall de WP