Nombre del complemento	WP SMS
Tipo de vulnerabilidad	Exposición de datos
Número CVE	CVE-2026-40790
Urgencia	Medio
Fecha de publicación de CVE	2026-04-25
URL de origen	CVE-2026-40790

Urgente: Exposición de Datos Sensibles del Plugin WP SMS (CVE-2026-40790) — Lo que los Propietarios de Sitios de WordPress Deben Hacer Ahora

Autor: Equipo de seguridad de WP-Firewall
Fecha: 2026-04-24
Etiquetas: WordPress, seguridad, vulnerabilidad, WAF, WP SMS, CVE-2026-40790

Resumen: Se divulgó una vulnerabilidad de exposición de datos sensibles que afecta a las versiones del plugin WP SMS <= 7.2.1 (CVE-2026-40790). Esto permite que cuentas con bajos privilegios accedan a información que debería estar restringida. Si administras sitios que utilizan el plugin WP SMS, lee esta guía ahora — explica el riesgo, las mitigaciones inmediatas, las técnicas de detección y los pasos concretos (incluidas las reglas de WAF y el endurecimiento) para proteger tu sitio hasta que puedas actualizar a la versión 7.2.2 o posterior.

Tabla de contenido

Resumen — lo que necesitas hacer ahora
Lo que se divulgó (a alto nivel)
Quiénes están afectados y por qué esto es importante
Análisis técnico (lo que probablemente salió mal)
Escenarios potenciales de ataque y perfil de riesgo
Cómo detectar la explotación e indicadores de compromiso
Acciones inmediatas — paso a paso (actualizar, bloquear, inspeccionar)
Reglas y ejemplos recomendados de WAF (parche virtual)
Endurecimiento, monitoreo y remediación a largo plazo
Si tu sitio ya está comprometido — manual de respuesta a incidentes
Cómo WP-Firewall te protege y una opción rápida de protección gratuita
Recomendaciones finales y lista de verificación

Resumen — lo que necesitas hacer ahora

Si tienes el plugin WP SMS instalado, actualízalo inmediatamente a la versión 7.2.2 o posterior.
Si no puedes actualizar en este momento, desactiva el plugin temporalmente o aplica un parche virtual (regla de WAF) para bloquear el acceso no autorizado a los puntos finales del plugin y a la configuración sensible.
Rota cualquier clave API, credenciales o tokens de proveedor de telefonía que el plugin pueda haber almacenado, y restablece las contraseñas de las cuentas administrativas como precaución.
Escanea tu sitio en busca de indicadores de compromiso (IOCs), puertas traseras y actividad sospechosa en admin-ajax o puntos finales REST.
Si no te sientes cómodo haciendo esto tú mismo, contacta a un desarrollador de confianza o utiliza un servicio de seguridad gestionado.

Lo que se divulgó (a alto nivel)

Se ha informado públicamente de una vulnerabilidad en WP SMS (versiones <= 7.2.1) y se le ha asignado el CVE-2026-40790. Se clasifica como Exposición de Datos Sensibles y tiene una gravedad evaluada en alrededor de CVSS 6.5 (media). Los puntos clave de la divulgación:

Versiones vulnerables: 7.2.1 y anteriores.
Corregido en: 7.2.2.
Privilegio requerido para la explotación: suscriptor (usuario de bajo nivel).
Impacto: divulgación no autorizada de datos sensibles que no deberían estar disponibles para usuarios con bajo privilegio.

Eso significa que un atacante que puede registrarse o que ya tiene una cuenta de usuario de bajo nivel en su sitio puede ser capaz de recuperar datos de configuración sensibles o secretos del plugin. Este es el tipo de vulnerabilidad que puede encadenarse con otras debilidades: por ejemplo, las claves de API expuestas aquí podrían usarse para acceder a servicios externos o pivotar hacia ataques adicionales.

Quiénes están afectados y por qué esto es importante

Afectado:

Cualquier sitio de WordPress con el plugin WP SMS instalado y activo en versiones <= 7.2.1.
Sitios donde los usuarios de bajo privilegio pueden registrarse o donde existen contribuyentes/suscriptores.

Por qué es importante:

Los problemas de exposición de datos sensibles no solo se tratan de filtraciones de información: las credenciales filtradas, las claves de API del proveedor o los números de teléfono pueden llevar a fraudes, toma de control de cuentas, abuso de servicios de terceros (puertas de enlace SMS) o movimiento lateral.
Debido a que el privilegio requerido es bajo (suscriptor), la superficie de ataque se amplía: los atacantes no necesitan credenciales de administrador para explotar el problema.
Las campañas de explotación masiva que escanean versiones vulnerables de plugins pueden afectar rápidamente a miles de sitios, haciendo que la mitigación oportuna sea crítica.

Análisis técnico (lo que probablemente salió mal)

El aviso público clasifica esto como “Exposición de Datos Sensibles” con privilegio requerido “Suscriptor”, lo que típicamente indica un problema de control de autorización: una solicitud destinada solo a administradores o para uso interno carece de las verificaciones de capacidad adecuadas o devuelve demasiados datos a cuentas de bajo privilegio.

Las causas raíz comunes para esta clase de vulnerabilidad incluyen:

Verificaciones de capacidad faltantes o incorrectas en puntos finales de AJAX o REST (sin current_user_can() o capacidad adecuada).
Puntos finales que devuelven la configuración completa del plugin u opciones (que pueden contener claves de API) sin filtrar campos sensibles.
Puntos finales de depuración o diagnóstico dejados habilitados en producción que divulgan secretos.
Lógica de serialización/deserialización o consultas directas a la base de datos que devuelven valores de opción en bruto al solicitante.

No publicaremos detalles de explotación. En su lugar, nos centraremos en la detección pragmática y la orientación defensiva. La breve historia técnica es: un punto final o acción expuesta por WP SMS devolvió configuraciones sensibles del plugin a atacantes que tenían privilegios mínimos en el sitio. La solución en 7.2.2 aplica el control de acceso adecuado y/o evita incluir campos secretos en la respuesta.

Escenarios potenciales de ataque y perfil de riesgo

Recolección y abuso de credenciales:
- Una clave de API de puerta de enlace SMS expuesta o un token de proveedor de teléfono permite a los atacantes enviar mensajes a su costa o eludir flujos de múltiples factores que dependen de SMS.
Toma de control de cuenta:
- Los atacantes utilizan información filtrada (por ejemplo, plantillas de correo electrónico, códigos de un solo uso o registros de cambios de administrador) para realizar ingeniería social en el soporte o reutilizar credenciales.
Abuso de la cadena de suministro/terceros:
- Si el complemento almacena credenciales de servicios de terceros, los atacantes podrían acceder a esos servicios (portales de proveedores de SMS), lo que llevaría a daños financieros y reputacionales.
Ataques encadenados:
- La filtración de información de baja capacidad a menudo permite errores posteriores (por ejemplo, XSS almacenado, solicitudes del lado del administrador o escalada de privilegios). Los atacantes intentarán encadenar la vulnerabilidad con otras en el sitio.

Dada la facilidad de explotación para cuentas de bajo privilegio, trate esto como urgente para cualquier sitio donde los suscriptores puedan registrarse o donde existan cuentas de contribuyentes.

Cómo detectar la explotación e indicadores de compromiso

Debe buscar comportamientos inusuales centrados en puntos finales comúnmente utilizados por complementos de WP (admin-ajax, puntos finales REST o archivos específicos de complementos). Aquí hay una lista priorizada de cosas a verificar:

Registros y patrones de solicitudes

Solicitudes repetidas a /wp-admin/admin-ajax.php con parámetros de acción que hacen referencia al complemento o con cadenas de agente de usuario utilizadas por bots.
Solicitudes a /wp-json/ o a cualquier ruta REST específica de complementos (por ejemplo, /wp-json/wp-sms/*) desde IPs desconocidas o con frecuencia anómala.
Solicitudes que incluyen cadenas de consulta o parámetros de cuerpo que piden configuración, opciones o ajustes.

Patrones de acceso

Nuevos suscriptores o cuentas de bajo privilegio realizando muchas solicitudes en poco tiempo.
Solicitudes originadas desde un pequeño número de IPs remotas que no son su audiencia esperada.

Verificaciones del estado y datos de WordPress

Cambios inesperados en la configuración del complemento o presencia de claves API no establecidas por los propietarios del sitio.
Nuevas o modificadas entradas wp_options que contienen valores sospechosos.

Verificaciones del sistema de archivos y malware

Nuevos archivos PHP en uploads, directorios de complementos o wp-content con código ofuscado.
Tiempos de modificación en archivos de complementos o del núcleo que usted no cambió.
Presencia de puertas traseras o shells web (busque patrones eval/base64_decode, funciones ofuscadas).

Señales administrativas

Mensajes salientes inesperados (SMS) o picos de facturación en la cuenta del proveedor de SMS.
Acciones administrativas inexplicables en los registros de auditoría poco después de solicitudes sospechosas.

Comandos básicos de detección (ejemplos)

Usa grep en los registros del servidor (Apache/Nginx) para accesos sospechosos:
```
grep -i "admin-ajax.php" /var/log/nginx/access.log | grep "wp-sms"
```

WordPress CLI para verificar la versión del plugin:

wp plugin list --status=active --format=csv | grep wp-sms

Buscar archivos sospechosos:

find wp-content -type f -name "*.php" -mtime -7 -print

Si encuentras signos de actividad sospechosa, pasa a la sección de respuesta a incidentes a continuación.

Acciones inmediatas — paso a paso (actualizar, bloquear, inspeccionar)

Prioridad A — Actualiza ahora (mejor opción)

Actualiza el plugin WP SMS a la versión 7.2.2 (o posterior) a través de:
- Interfaz de administración: Panel → Plugins → Actualizar
- O WP-CLI:
```
wp plugin update wp-sms
```
Confirmar versión del plugin:
```
wp plugin get wp-sms --field=version
```
Verifica la funcionalidad del sitio y prueba los flujos de trabajo de SMS en un servidor de pruebas si es posible.

Prioridad B — Si no puedes actualizar de inmediato

Desactiva o deshabilita el plugin temporalmente:
- Panel → Plugins → Desactivar (más rápido)
- O WP-CLI: wp plugin deactivate wp-sms
Si el plugin es esencial, aplica reglas de WAF / parches virtuales (ver abajo) para bloquear el comportamiento vulnerable hasta que puedas actualizar.

Prioridad C — Rota secretos y credenciales

Identifique cualquier clave API, token o credenciales de proveedor que WP SMS almacene o utilice (claves de puerta de enlace SMS, números de teléfono).
Rote esas claves en la consola del proveedor y actualice la configuración del plugin después de que el plugin se haya actualizado o reemplazado.
Restablezca las contraseñas de los administradores y usuarios privilegiados si detectó actividad sospechosa.

Prioridad D — Escanear e inspeccionar

Realice un escaneo completo de malware (escáner de malware WP-Firewall u otro escáner de buena reputación).
Inspeccione los registros del servidor web en busca de IOCs (consulte la sección anterior).
Revise wp_options en busca de entradas creadas/modificadas recientemente por el plugin.
Verifique si hay nuevos usuarios y revise roles y capacidades.

Prioridad E — Copias de seguridad y instantáneas

Cree una instantánea o copia de seguridad de inmediato para fines forenses (no sobrescriba las copias de seguridad previas al incidente).
Retenga copias de los registros y copias de seguridad para la investigación.

Reglas y ejemplos recomendados de WAF (parche virtual)

Si no puede actualizar inmediatamente cada sitio afectado, el parcheo virtual a través de un Firewall de Aplicaciones Web gana tiempo. A continuación se presentan reglas WAF prácticas y conservadoras que puede aplicar en Apache/ModSecurity, Nginx (con ModSecurity) o filtrado de solicitudes a nivel de aplicación. El objetivo: bloquear solicitudes no autorizadas de bajo privilegio que intenten acceder a la configuración del plugin o a los puntos finales.

Importante: Evite reglas que rompan la funcionalidad legítima del sitio. Pruebe las reglas en un entorno de pruebas o monitoree en modo “solo registro” antes de bloquear.

1) Regla genérica: bloquear solicitudes anónimas/de bajo privilegio a puntos finales REST específicos del plugin.

Nginx + ModSecurity (regla conceptual):

Detectar solicitudes a puntos finales REST que contengan la ruta del nombre del plugin (ruta de ejemplo mostrada de manera genérica).
Si el método de solicitud es GET y no hay cookie que indique un usuario conectado (sin cookie wordpress_logged_in_) — bloquear o desafiar.

Regla pseudo-ModSecurity (ejemplo):

SecRule REQUEST_URI "@rx /wp-json/(?:wp-sms|wp_sms|wp-sms-pro)/" \"

2) Bloquear o limitar la tasa de llamadas sospechosas de admin-ajax que soliciten datos del plugin.

Muchas acciones de plugins utilizan admin-ajax.php. Aplica una regla para bloquear llamadas que incluyan nombres de parámetros probables (settings, get_options, etc.) de usuarios no autenticados.

Ejemplo de ModSecurity:

SecRule ARGS_NAMES "@rx (get_settings|get_options|get_config|settings|options)" \"

3) Bloquear el acceso a archivos de administración del plugin desde el público si están presentes

Si el plugin expone un archivo de administración bajo /wp-content/plugins/wp-sms/admin/ que solo debería ser accesible por administradores, bloquea el acceso externo por IP o requiere autenticación.

Ejemplo de regla de ubicación de Nginx:

location ~* /wp-content/plugins/wp-sms/.+\.php$ {

Nota: Este enfoque es conservador y puede romper llamadas AJAX de administración legítimas en algunas configuraciones — prueba antes de aplicar.

4) Limitación de tasa: restringir interacciones repetidas desde la misma IP / cuenta

Implementa limitación de solicitudes para puntos finales sospechosos:

Bloquear o ralentizar direcciones IP que hagan más de N solicitudes a admin-ajax o puntos finales REST dentro de M segundos.

Ejemplo de Nginx + limit_req:

limit_req_zone $binary_remote_addr zone=wp_ajax:10m rate=30r/m;

5) Bloquear bots maliciosos conocidos y huellas dactilares de agentes de usuario sospechosos

Muchos intentos de explotación automatizados utilizan agentes de usuario scriptados; crea una lista de denegación de agentes de usuario que acceden repetidamente a los puntos finales del plugin y responde con 403.

6) Registro y alertas: asegúrate de que cualquier intento bloqueado active alertas a los propietarios/admins del sitio

Los parches virtuales son temporales. Configura el registro para capturar las cargas útiles de solicitudes bloqueadas, IPs, encabezados y marcas de tiempo para una investigación posterior.

Directrices

Comience con el modo “monitor/log-only” para nuevas reglas para evaluar falsos positivos.
Use un bloqueo mínimo: prefiera desafíos (CAPTCHA) o bloqueos 403 para solicitudes no autenticadas.
Pruebe en staging antes de implementar ampliamente.

Si está utilizando WP-Firewall, nuestro conjunto de reglas gestionadas incluye parches virtuales para esta clase de problemas y se pueden activar de inmediato para proteger los sitios mientras actualiza.

Endurecimiento, monitoreo y remediación a largo plazo

Después de haber actualizado o aplicado un parche virtual, observe más ampliamente la postura de seguridad. Aquí están los controles recomendados:

Principio de mínimo privilegio
- Restringa los registros de usuarios si no son necesarios; establezca el rol predeterminado en “Suscriptor” solo si requiere registros. Donde sea posible, desactive el registro de usuarios (Configuración → General).
- Audite a los usuarios regularmente y elimine cuentas no utilizadas.
- Evite usar claves API de nivel administrador en plugins. Use claves con alcance y privilegios limitados.
Mantenimiento seguro de plugins
- Mantenga todos los plugins, temas y el núcleo actualizados; use staging para probar actualizaciones si su sitio tiene personalizaciones.
- Elimine plugins y temas no utilizados: el código no utilizado aumenta la superficie de ataque.
- Suscríbase solo a plugins de confianza y realice auditorías de código para plugins de alto riesgo utilizados para integraciones (SMS, pasarelas de pago).
Proteja los puntos finales de REST y AJAX
- Hacer cumplir las verificaciones de capacidad (el usuario actual puede()) para puntos finales que devuelven datos sensibles.
- Evite devolver secretos (claves API, tokens) en las respuestas; enmascare o elimine campos sensibles.
- Use nonces para envíos de formularios y requiera estos antes de procesar acciones sensibles.
Gestión de secretos
- Evite almacenar secretos de larga duración en wp_options o configuraciones de plugins sin cifrado.
- Use variables de entorno para secretos a nivel de servidor donde sea práctico, y cárguelas dentro del plugin si es compatible.
Monitoreo y alertas
- Monitoree los registros en busca de patrones de solicitud inusuales y intentos de autorización fallidos.
- Configure alertas por correo electrónico/SMS para bloqueos de WAF y picos repentinos en solicitudes de admin-ajax o REST.
Copias de seguridad y archivos inmutables
- Mantenga copias de seguridad regulares fuera del sitio y pruebe las restauraciones periódicamente.
- Mantenga una copia de seguridad inmutable segura de antes de la posible violación para análisis forense.
Escaneo automatizado y auditorías regulares
- Realice escaneos automatizados de vulnerabilidades en sus complementos y temas.
- Programe auditorías manuales periódicas para complementos que gestionen credenciales externas o realicen acciones privilegiadas.

Si tu sitio ya está comprometido — manual de respuesta a incidentes

Si descubre signos de compromiso (solicitudes inusuales, nuevos usuarios administradores, archivos modificados), tome los siguientes pasos de manejo de incidentes de inmediato.

Aislamiento y contención

Ponga el sitio en modo de mantenimiento o desconéctelo si no puede contener la actividad.
Desactive temporalmente el complemento vulnerable (wp plugin deactivate wp-sms) o aplique reglas estrictas de WAF para bloquear el tráfico de explotación.

Preservar las pruebas

Haga una copia de seguridad completa (preserve registros, volcado de base de datos y copia del sistema de archivos).
Exporte los registros del servidor web durante al menos los 30 días anteriores al incidente.

Erradicación

Escanee en busca de shells web y archivos maliciosos; elimine cualquier puerta trasera.
Reemplace los archivos del núcleo/complemento modificados con copias limpias de fuentes confiables.
Rote todas las credenciales potencialmente expuestas: usuarios de WordPress, claves API, credenciales de proveedores.

Recuperación

Restaure el sitio desde la copia de seguridad más reciente conocida como limpia si quedan rastros de compromiso.
Actualice todo el software: núcleo de WordPress, complementos, temas.
Monitoree de cerca para detectar reinfecciones: verifique los registros en busca de patrones de ataque repetidos.

acciones posteriores al incidente

Realice un análisis de causa raíz: ¿cómo entró el atacante? ¿Qué datos fueron accedidos?
Considere un análisis forense de terceros si se expusieron datos financieros o de clientes.
Notifique a las partes interesadas afectadas y, si lo exige la ley, siga los requisitos de notificación de violaciones.

Cómo WP-Firewall te protege

Como el equipo detrás de WP-Firewall, nuestro enfoque se centra en la defensa en capas:

Reglas de WAF gestionadas: Publicamos parches virtuales y reglas para vulnerabilidades de plugins recién divulgadas y los implementamos rápidamente para proteger los sitios mientras se realizan las actualizaciones.
Escaneo y eliminación de malware: Nuestro escáner busca indicadores de compromiso, archivos sospechosos y patrones comunes de puertas traseras; los planes de nivel superior incluyen eliminación automática de malware.
Parchado virtual automático de vulnerabilidades: Para vulnerabilidades de alto impacto, podemos aplicar un parche virtual en los sitios protegidos hasta que se aplique un parche del proveedor.
Bloqueo en tiempo real y limitación de tasa: Protege contra campañas de explotación masiva al limitar patrones de tráfico malicioso y bloquear actores conocidos.
Monitoreo y reporte continuo: Proporcionamos registros y alertas para que pueda responder rápidamente.

Si necesita protección inmediata y no tiene un WAF en su lugar, recomendamos aplicar reglas de parcheo virtual conservadoras y rotar claves API críticas como se describió anteriormente. Para muchos propietarios de sitios, un firewall administrado y un escáner de malware reducen la carga operativa y brindan tranquilidad.

Comience la Protección Gratuita con WP-Firewall

Si desea proteger su sitio de WordPress de inmediato, considere comenzar con el plan WP-Firewall Basic (Gratis). Proporciona protección esencial, incluyendo un firewall administrado, WAF, ancho de banda ilimitado, un escáner de malware y mitigación para los riesgos del OWASP Top 10 — todo lo que necesita para bloquear intentos de explotación comunes como la exposición de datos sensibles de WP SMS mientras actualiza o investiga. Puede comenzar aquí: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Si necesita más respuestas automatizadas — la eliminación automática de malware y listas de permitidos/bloqueados de IP limitadas están disponibles con el plan Estándar. Para equipos y agencias que gestionan múltiples sitios, el plan Pro incluye parcheo virtual automatizado e informes de seguridad mensuales que hacen que la respuesta a incidentes sea mucho más rápida.

Ejemplos detallados: fragmentos de reglas WAF seguras y patrones de detección

A continuación se presentan ejemplos más largos que puede adaptar a su entorno. Estas son pautas — ajústelas para su sitio.

A. ModSecurity: bloquear solicitudes no autenticadas a puntos finales REST sospechosos (modo de monitoreo primero)

# Regla 900100 - Monitorear el acceso a los puntos finales REST de WP-SMS"

B. Monitoreo de parámetros admin-ajax (registrar entradas sospechosas de admin-ajax)

SecRule REQUEST_URI "@streq /wp-admin/admin-ajax.php" "id:900110,phase:2,pass,nolog,chain"

C. Nginx: denegar el acceso directo a la carpeta de administración del plugin (solo permitir acceso interno)

location ~* ^/wp-content/plugins/wp-sms/admin/ {

Nota: Utilice interno con pruebas cuidadosas — niega el acceso público directo. Algunos activos internos del plugin pueden requerir acceso — valide primero.

D. Limitación de tasa en admin-ajax para ralentizar las sondas

limit_req_zone $binary_remote_addr zone=ajax_zone:10m rate=60r/m;

Alertas de monitoreo

Configure su WAF para enviar una alerta cuando cualquiera de las reglas anteriores pase de estado de monitoreo a bloqueo o cuando se alcancen los umbrales para admin-ajax o puntos finales REST.

Preguntas para hacer a su proveedor de hosting o desarrollador

¿Ha verificado si el plugin WP SMS está funcionando activamente en nuestro entorno y qué versión?
¿Podemos aplicar una regla WAF temporal de manera centralizada en todos los sitios para bloquear los patrones de solicitud vulnerables?
¿Tenemos copias de seguridad recientes y retención de registros durante al menos 30 días para análisis forense?
¿Qué servicios (proveedores de puerta de enlace SMS) están vinculados a este plugin, y podemos rotar sus claves ahora?
¿Podemos deshabilitar el registro de usuarios o cambiar los roles predeterminados hasta que apliquemos el parche?

Recomendaciones finales y lista de verificación

Lista de verificación inmediata (primeras 24 horas)

[ ] Confirme si WP SMS está instalado (wp plugin list).
[ ] Actualice a WP SMS 7.2.2 o posterior si es posible.
[ ] Si no puede actualizar, desactive el plugin o habilite las reglas de parche virtual como se describe.
[ ] Rote las credenciales de SMS/puerta de enlace y cualquier clave API expuesta.
[ ] Exporte y asegure los registros del servidor web de los últimos 30 días.
[ ] Realizar un escaneo completo de malware e integridad.

Seguimiento de 24 a 72 horas

[ ] Realizar un escaneo en profundidad en busca de puertas traseras y archivos PHP sospechosos.
[ ] Verificar si hay nuevos usuarios o escalaciones de privilegios.
[ ] Monitorear los registros del WAF y establecer alertas para accesos repetidos.
[ ] Documentar las acciones tomadas y notificar a las partes interesadas según sea necesario.

A largo plazo

[ ] Implementar un WAF gestionado o monitoreo de seguridad profesional.
[ ] Reducir la superficie de ataque eliminando plugins no utilizados.
[ ] Auditar plugins de terceros que almacenan credenciales externas.

Reflexiones finales

Esta exposición de datos sensibles de WP SMS es un recordatorio de que los errores de autorización de plugins pueden tener consecuencias desproporcionadas, especialmente cuando permiten a usuarios con bajos privilegios extraer secretos. La defensa efectiva más rápida es aplicar el parche del proveedor (7.2.2) de inmediato. Cuando un parche no se puede aplicar de inmediato, el parcheo virtual a través de un WAF correctamente configurado, la rotación de secretos y el monitoreo específico proporcionan mitigaciones sólidas para ganar tiempo.

Si necesitas ayuda para implementar las reglas anteriores, validar la solución o incorporar parches virtuales, el equipo de seguridad de WP-Firewall puede asistirte. Nuestro escudo y escaneo gestionados se pueden activar rápidamente para proteger sitios durante ventanas de emergencia y mantener a raya las amenazas recurrentes.

Mantente seguro y trata esto como una alta prioridad si ejecutas WP SMS en cualquiera de tus sitios de WordPress.

— Equipo de seguridad de WP-Firewall

Mitigando la exposición de datos del plugin SMS en WordPress//Publicado el 2026-04-25//CVE-2026-40790