Aquesta setmana, la teva web podria estar en perill si no estàs atent
Imagina que la teva web és com una casa amb portes i finestrals. Si una d'elles té un error de seguretat, algú podria entrar sense permís. Aquesta setmana, s'han descobert 93 portes amb errors en plugins i temes de WordPress. Algunes permeten que un atacant faci coses com prendre el control de comptes, pujar fitxers perillosos o fins i tot executar comandes com si fos el propietari. No és un problema de la teva web en concret, però sí alguna cosa que has de conèixer si utilitzes WordPress.
El que està passant al món
Aquesta setmana, s'han identificat 93 vulnerabilitats greus en plugins i temes de WordPress. Això és un 67% menys que la setmana anterior, però segueix sent una xifra elevada. En total, durant aquesta setmana s'han recollit 372 vulnerabilitats, de les quals 93 són considerades greus. Això vol dir que hi ha errors que permeten a atacants actuar sense necessitat de tenir una compte a la web, o que permeten executar codi maliciós.
Les cartes, CVE a CVE
CVE-2026-110135
- Producte afectat: Plugin "OTP Login & Register Woocommerce"
- Què és l'error: Permet que un atacant prengui el control d'una compte sense necessitat de tenir credencials.
- Com s'ataca: Accedint a una funció del plugin que no requereix autenticació.
- Què pot passar: Un atacant podria fer-se passar per un usuari legítim i accedir a dades sensibles.
- Gravetat (CVSS): 9.8
- Probabilitat d'ús (EPSS): Alta
- Ja s'està explotant?: No hi ha informació d'explotació activa.
- Conseqüències per la teva web: Pot suposar un robatori de dades d'usuaris o fins i tot que s'utilitzin aquestes comptes per a activitats malicioses.
CVE-2026-108151
- Producte afectat: Plugin "MDTF – Meta Data and Taxonomies Filter"
- Què és l'error: Permet executar codi arbitrari al servidor.
- Com s'ataca: A través d'una injecció de codi maliciós.
- Què pot passar: Un atacant podria executar comandes al servidor, com si fos l'administrador.
- Gravetat (CVSS): 9.8
- Probabilitat d'ús (EPSS): Alta
- Ja s'està explotant?: No hi ha informació d'explotació activa.
- Conseqüències per la teva web: Pot suposar que l'atacant instali malware, robi dades o fins i tot tumbi la web.
CVE-2026-92885
- Producte afectat: Plugin "Qode Membership"
- Què és l'error: Permet eludir l'autenticació mitjançant un login social.
- Com s'ataca: Usant una vulnerabilitat al procés de login amb xarxes socials.
- Què pot passar: Un atacant podria accedir a comptes sense necessitat de conèixer la contrasenya.
- Gravetat (CVSS): 9.8
- Probabilitat d'ús (EPSS): Alta
- Ja s'està explotant?: No hi ha informació d'explotació activa.
- Conseqüències per la teva web: Pot suposar que usuaris legítims per din el control de les seves comptes.
CVE-2026-94169
- Producte afectat: Plugin "The Grid"
- Què és l'error: Permet executar codi arbitrari al servidor.
- Com s'ataca: A través d'una injecció de codi maliciós.
- Què pot passar: Un atacant podria executar comandes al servidor, com si fos l'administrador.
- Gravetat (CVSS): 9.8
- Probabilitat d'ús (EPSS): Alta
- Ja s'està explotant?: No hi ha informació d'explotació activa.
- Conseqüències per la teva web: Pot suposar que l'atacant instali malware, robi dades o fins i tot tumbi la web.
CVE-2026-111832
- Producte afectat: Plugin "WP Mailster"
- Què és l'error: Permet pujar fitxers arbitraris al servidor.
- Com s'ataca: Pujant un fitxer maliciós a través d'una funció del plugin.
- Què pot passar: Un atacant podria instalar malware o fins i tot prendre el control del servidor.
- Gravetat (CVSS): 9.8
- Probabilitat d'ús (EPSS): Alta
- Ja s'està explotant?: No hi ha informació d'explotació activa.
- Conseqüències per la teva web: Pot suposar que l'atacant instali malware, robi dades o fins i tot tumbi la web.
Com hem arribat fins aquí
L'evolució de les vulnerabilitats greus a WordPress ha estat bastant volàtil en les darreres setmanes. Mentre que la setmana passada es van registrar 283 vulnerabilitats greus, aquesta setmana s'han identificat 93, la qual cosa suposa una caiguda del 67%. No obstant això, la mitjana de les darreres 5 setmanes és de 180, per tant aquesta setmana segueix sent un valor per sota de la mitjana. El màxim es va registrar la setmana del 14 al 20 d'octubre amb 283 vulnerabilitats, mentre que el mínim és precisament aquesta setmana amb 93.
Què està passant darrere dels números
La caiguda d'aquesta setmana podria deure's a que s'han resolt o empaquetat alguns dels errors més crítics de setmanes anteriors. No obstant això, la tendència general segueix sent a la baixa, cosa que suggereix que el nombre de vulnerabilitats greus a WordPress podria seguir creixent en les properes setmanes. Això pot deure's a que els desenvolupadors de plugins i temes estan publicant actualitzacions amb freqüència, cosa que pot incloure correccions de seguretat. També podria deure's a que els atacants estan identificant i publicant nous errors amb major rapidesa.
Què podem esperar
Si la tendència es manté, el previsible és que el nombre de vulnerabilitats greus a WordPress segueixi creixent en les properes setmanes. L'escenari optimista seria que els desenvolupadors de plugins i temes continuïn publicant actualitzacions amb freqüència i que els usuaris les apliquin ràpidament. L'escenari pesimista seria que els atacants identifiquin i publiquin nous errors amb major rapidesa, cosa que podria portar a un augment encara més gran del nombre de vulnerabilitats greus.
Com pot afectar a la teva web o al teu negoci
Escenari 1: Un plugin sense actualitzar
Imagina que tens una botiga online i utilitzes un plugin de login social que no has actualitzat. Un atacant podria aprofitar una vulnerabilitat per accedir a les comptes dels teus clients. Això podria suposar un robatori de dades sensibles, com adreces de correu o fins i tot contrasenyes, cosa que podria portar a que els teus clients per din la confiança en la teva botiga.
Escenari 2: Un atac de força bruta
Imagina que utilitzes una contrasenya dèbil per a la teva compte d'administrador i que no has activat l'autenticació de dos factors. Un atacant podria usar un bot per provar milions de contrasenyes fins que trobi la correcta. Un cop dins, podria canviar la configuració de la teva web, robar dades o fins i tot instal·lar malware.
Escenari 3: Un exploit públic
Imagina que es publica un exploit per a un plugin que utilitzes a la teva web. Si no actualitzes el plugin ràpidament, els bots automatitzats podrien aprofitar la vulnerabilitat per prendre el control de la teva web. Això podria suposar que la teva web mostri publicitat de farmàcia o que fins i tot es tumbi per complet.
Com pots protegir-te i prevenir
- Actualitza els teus plugins i temes regularment. Cada actualització pot incloure correccions de seguretat importants.
- Activa l'autenticació de dos factors (2FA). Això afegeix una capa extra de seguretat a la teva compte d'administrador.
- Utilitza contrasenyes fortes i úniques. No utilitzis la mateixa contrasenya en múltiples llocs.
- Activa l'anàlisi de seguretat a Seguretat 360. Això et permet detectar si la teva web té plugins o temes amb vulnerabilitats conegudes.
- Configura el firewall de la teva web. Això et permet bloquejar atacs abans d'arribar a la teva aplicació.
- Activa BotLock. Això et permet controlar i bloquejar bots i rastrejadors maliciosos.
- Fes còpies de seguretat regulars. En cas que la teva web sigui atacada, podràs restaurar-la ràpidament.
- Subscriu-te al butlletí de seguretat de Seguretat 360. Això et permet estar informat de les vulnerabilitats més recents.
Quines eines de SWPanel t'ajuden
- Anàlisi de seguretat a Seguretat 360: Detecta CMS, plugins i versions amb errors coneguts i marca la teva web al panell.
- Butlletí i avisos de seguretat de Seguretat 360: T'avisen quan surt un error que t'afecta.
- BotLock: Controla i bloqueja bots i rastrejadors maliciosos de la teva web.
- FireWall: Filtra atacs web abans d'arribar a la teva aplicació.
- Actualització automàtica de CMS a webs instal·lades des de SWPanel: Si instal·lastes la teva web des de SWPanel, pots activar aquesta funció per mantenir el teu CMS actualitzat.
- Còpies de seguretat: Et permeten restaurar la teva web en cas d'atac.
- Canvi de versió de PHP des del servei d'hosting: Si utilitzes una versió de PHP sense suport, pots canviar a una versió amb suport des del panell.
- Suport per correu: Si tens dubtes o necessites ajuda, pots contactar amb el nostre suport.
Resum ràpid
- Aquesta setmana s'han identificat 93 vulnerabilitats greus en plugins i temes de WordPress.
- Algunes permeten que un atacant prengui el control de comptes, pugi fitxers o fins i tot executi codi al servidor.
- L'evolució de les vulnerabilitats segueix sent a la baixa, per tant és important estar atent.
- Actualitza els teus plugins i temes, activa l'autenticació de dos factors i utilitza contrasenyes fortes.
Fonts
Les dades d'aquesta setmana provenen de catàlegs públics internacionals com CISA KEV, Wordfence, Nuclei, Exploit-DB, Emerging Threats i EPSS.
