La setmana passada, el nombre de vulnerabilitats greus a WordPress ha augmentat un 102,2% respecte a la setmana anterior. Això no vol dir que la teva web estigui en perill, però sí que és un bon moment per revisar quins plugins i temes tens instal·lats i si estan actualitzats. Tot i que no totes les webs utilitzen els productes afectats, els atacants no ho saben i busquen en totes bandes. Per això, és important estar preparat.
El que està passant al món
SWPanel vigila constantment les vulnerabilitats publicades en fonts com Wordfence, CISA KEV, Nuclei i EPSS. Aquesta setmana, s'han identificat 666 noves fitxes de vulnerabilitat a WordPress, de les quals 182 són considerades greus. Això suposa un augment del 102,2% respecte a la setmana anterior i una subida del 4,8% sobre la mitjana de les darreres cinc setmanes. La tendència general és a la alça, el que indica que els desenvolupadors i els atacants segueixen actius en aquest ecosistema.
Les fitxes, CVE a CVE
CVE-2026-94268 (Advanced Custom Fields: Extended)
- Producte afectat: Plugin "Advanced Custom Fields: Extended" versió <= 0.9.2.7
- Què és el fallo: Permet a un atacant no autenticat prendre el control d'una compte d'usuari, com si fos el propi propietari de la web.
- Com s'ataca: Aprofitant un error en com es gestionen els permisos del plugin.
- Què pot passar: L'atacant podria canviar contrasenyes, publicar contingut o fins i tot vendre l'accés a altres.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha dades d'exploitació activa.
CVE-2026-119096 (Uncanny Toolkit for LearnDash)
- Producte afectat: Plugin "Uncanny Toolkit for LearnDash" versió <= 3.8.2
- Què és el fallo: Permet a un atacant no autenticat evitar la verificació de credencials, com si no tinguessis contrasenya.
- Com s'ataca: Manipulant un paràmetre en una sol·licitud web.
- Què pot passar: Accés no autoritzat a àrees restringides de la web.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha dades d'exploitació activa.
CVE-2026-106013 (Jupiter X Core)
- Producte afectat: Plugin "Jupiter X Core" versió <= 4.61.0
- Què és el fallo: Permet a un atacant no autenticat enganyar al sistema d'inici de sessió de xarxes socials, com si fos un usuari legítim.
- Com s'ataca: Usant un valor fals en un paràmetre de verificació de Twitter o X.
- Què pot passar: Accés no autoritzat a comptes d'usuari.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha dades d'exploitació activa.
CVE-2026-84999 (Pie Register Premium)
- Producte afectat: Plugin "Pie Register Premium" versió <= 3.8.4.0
- Què és el fallo: Permet a un atacant no autenticat pujar fitxers arbitraris a la web, com si fos un usuari legítim.
- Com s'ataca: Usant una funció AJAX mal protegida.
- Què pot passar: Pujada de fitxers maliciosos que poden infectar la web o robar dades.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha dades d'exploitació activa.
CVE-2026-109516 (Bot for Telegram on WooCommerce)
- Producte afectat: Plugin "Bot for Telegram on WooCommerce" versió <= 1.3.0
- Què és el fallo: Permet a un atacant no autenticat enganyar al sistema de Telegram per accedir a comptes d'usuari.
- Com s'ataca: Usant un fals webhook de Telegram i força bruta.
- Què pot passar: Accés no autoritzat a comptes d'usuari i rodat de dades.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha dades d'exploitació activa.
I a SWPanel, què?
SWPanel vigila activament aquestes vulnerabilitats i les compara amb les dades de les webs alojades als nostres servidors. Si detectem que la teva web utilitza algunes d'aquestes eines amb versions afectades, t'ho notificarem a la secció de Seguretat 360. A més, si instal·lastes la teva web des de SWPanel, pots activar actualitzacions automàtiques per a WordPress, plugins i temes, el que t'ajuda a mantenir la teva web segura sense tenir que preocupar-te per això.
Com hem arribat fins aquí
L'evolució de les vulnerabilitats greus a WordPress ha estat fluctuant en les darreres setmanes. Veiem els dades:
- 22/09 al 26/09: 122 vulnerabilitats greus
- 29/09 al 03/10: 132 (+8,2%)
- 06/10 al 10/10: 240 (+81,8%)
- 13/10 al 17/10: 284 (+18,3%)
- 20/10 al 24/10: 90 (-68,3%)
- 27/10 al 02/11 (aquesta setmana): 182 (+102,2%)
La mitjana de les darreres cinc setmanes és de 174, i aquesta setmana superem aquest promig. El pic més alt ha estat de 284, i el mínim de 90. La tendència general és a la alça, el que indica que els desenvolupadors continuen publicant correccions i els atacants segueixen actius.
Què està passant darrere dels números
L'augment de vulnerabilitats greus a WordPress reflecteix una activitat constant per part dels desenvolupadors i els atacants. Per una banda, els desenvolupadors publiquen actualitzacions per corregir errors. Per l'altra, els atacants busquen aprofitar qualsevol vulnerabilitat no corregida. Aquesta setmana, l'augment del 102,2% suggereix que s'han publicat diverses correccions importants, el que no necessàriament vol dir que s'estiguin explotant activament, però sí que és un bon moment per revisar la teva web.
Què podem esperar
Si la tendència es manté, el previsible és que el nombre de vulnerabilitats greus segueixi creixent en les properes setmanes. Un escenari optimista seria que els desenvolupadors segueixin publicant actualitzacions ràpides i que els atacants no trobin noves formes d'exploitar els errors. Un escenari pesimista seria que els atacants trobin formes d'exploitar aquests errors de manera automatitzada, el que podria portar a un augment d'atacs reals.
Com pot afectar a la teva web o al teu negoci
Escenari 1: Web caiguda
Imagina que tens una botiga online i utilitzes un plugin amb una vulnerabilitat no corregida. Un atacant podria aprofitar-la per injectar codi maliciós que faci caure la teva web. Això vol dir que els teus clients no podran accedir a la teva botiga, el que es tradueix en pèrdues de vendes i clients frustrats.
Escenari 2: Robatori de dades
Si un atacant pren el control de la teva web, podria robar dades dels teus clients, com adreces, correus o fins i tot números de targetes de crèdit. Això no només afecta la teva reputació, sinó que també pot implicar-te legalment si no compleixes amb la RGPD.
Escenari 3: Pèrdua de posicionament
Si la teva web s'infecta amb malware, Google pot marcar-la com a insegura, el que fa que desapareixi dels resultats de cerca. Això vol dir que la teva botiga o bloc perd visibilitat i clients.
Com pots protegir-te i prevenir
- Actualitza plugins i temes regularment: Les actualitzacions solen incloure correccions de seguretat. Si instal·lastes la teva web des de SWPanel, pots activar actualitzacions automàtiques.
- Utilitza contrasenyes fortes i 2FA: Una contrasenya dèbil és com una porta amb una clau de joc. Utilitza contrasenyes llargues i úniques, i activa la autenticació de dos factors (2FA) per afegir una capa extra de seguretat.
- Revisa els plugins instal·lats: No utilitzis plugins que no necessitis. Cada plugin és una porta potencial per als atacants.
- Utilitza un firewall web: Un firewall filtra les sol·licituds malicioses abans d'arribar a la teva web. Si tens un firewall actiu, és com tenir un portero que revisa qui entra.
- Habilita l'anàlisi de seguretat a Seguretat 360: Aquest anàlisi detecta si la teva web utilitza plugins o temes amb vulnerabilitats conegudes. T'ajuda a identificar problemes abans que algú els aprofite.
- Fes còpies de seguretat periòdiques: Si la teva web s'infecta, una còpia de seguretat recent t'ajuda a recuperar-la ràpidament. És com tenir una còpia de seguretat de les claus de casa teva.
- Utilitza un bloquejador de bots: Els bots automatitzats intenten endevinar contrasenyes o trobar vulnerabilitats. Un bloquejador de bots els atura abans que puguin fer mal.
- Mantén actualitzat PHP: Si la teva web utilitza una versió de PHP sense suport, no rebdrà parches de seguretat. Canvia a una versió amb suport des del panell d'hosting.
- Activa les notificacions de seguretat: Si instal·lastes la teva web des de SWPanel, pots rebre notificacions quan es publiqui una vulnerabilitat que afecti la teva web.
- Revisa els permisos dels usuaris: Assegura't que només els usuaris necessaris tinguin accés a àrees sensibles de la teva web. És com donar-les les claus de casa teva només a qui realment les necessiti.
Quines eines de SWPanel t'ajuden
- Anàlisi de seguretat a Seguretat 360: Detecta plugins i temes amb vulnerabilitats conegudes. T'ajuda a identificar problemes abans que algú els aprofite.
- Avisos de seguretat a Seguretat 360: T'informa quan es publiqui una vulnerabilitat que afecti la teva web. És com tenir un guardià que t'avis quan hi ha un problema.
- BotLock: Bloqueja bots i rastrejadors maliciosos. És com tenir un portero que revisi qui entra a la teva web.
- Firewall web: Filtra atacs web abans d'arribar a la teva aplicació. És com tenir un mur que protegeixi la teva casa.
- Actualització automàtica de CMS: Si instal·lastes la teva web des de SWPanel, pots activar actualitzacions automàtiques per a WordPress, plugins i temes. T'ajuda a mantenir la teva web segura sense tenir que preocupar-te per això.
- Còpies de seguretat: Si la teva web s'infecta, una còpia de seguretat recent t'ajuda a recuperar-la ràpidament. És com tenir una còpia de seguretat de les claus de casa teva.
- Canvi de versió de PHP: Si la teva web utilitza una versió de PHP sense suport, no rebdrà parches de seguretat. Canvia a una versió amb suport des del panell d'hosting.
- Suport per ticket: Si tens dubtes o necessites ajuda, pots contactar amb nosaltres per ticket. T'ajudem a resoldre problemes de seguretat i a mantenir la teva web segura.
Resum ràpid
- El nombre de vulnerabilitats greus a WordPress ha augmentat un 102,2% aquesta setmana.
- És important revisar els plugins i temes instal·lats i mantenir-los actualitzats.
- SWPanel vigila aquestes vulnerabilitats i t'avis si afecten la teva web.
- Utilitza eines com l'anàlisi de seguretat, el firewall i les còpies de seguretat per protegir-te.
Fonts
Les dades d'aquesta setmana provenen de catàlegs públics de vulnerabilitats com CISA KEV, Wordfence, Nuclei, Exploit-DB, Emerging Threats i EPSS.
