Aquesta setmana, el que has de saber
Aquesta setmana, s'han identificat 166 noves vulnerabilitats greus en plugins i temes de WordPress. Tot i que el nombre és alt, és un 8,8% menys que la setmana anterior i es manté per sota de la mitjana de les darreres 5 setmanes. Si tens una web amb WordPress, és important que sàpigues que aquests errors poden permetre a atacants prendre el control del teu lloc, robar dades o fins i tot executar comandes com si fossis tu. No et preocupis: amb una mica d'atenció, pots protegir-te fàcilment.
El que està passant al món
SWPanel vigila constantment els catàlegs públics de vulnerabilitats per estar al corrent dels riscos que afecten a WordPress. Aquesta setmana, s'han afegit 504 noves fitxes de vulnerabilitat, de les quals 166 són considerades greus. Això vol dir que hi ha 166 formes noves en les què un atacant podria aprofitar-se d'un plugin o tema de WordPress si no estan actualitzats.
El nombre de vulnerabilitats greus ha fluctuat en les darreres setmanes: hi hagué un pic de 284 la setmana del 13 al 17 d'octubre, i un mínim de 90 la setmana del 20 al 24 d'octubre. Aquesta setmana, amb 166 vulnerabilitats greus, s'ha mantingut per sota de la mitjana de les darreres 5 setmanes (186) i la tendència general és a la baixa.
Les fitxes, CVE a CVE
A continuació, t'expliquem algunes de les vulnerabilitats més greus que s'han identificat aquesta setmana:
CVE-2026-119075
- Producte afectat: Plugin *Registration Form for WooCommerce* <= 1.1.4
- Què és: Un error que permet a un atacant canviar permisos d'usuaris sense necessitat d'estar autenticat.
- Com s'ataca: Un atacant podria aprofitar aquest error per elevar els seus privilegis i convertir-se en administrador del lloc.
- Què pot ocasionar: Accés no autoritzat a funcionalitats restringides, com la gestió d'usuaris o la configuració del lloc.
- Gravetat (CVSS): 9,8 (molt greu)
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha informació d'exploitació activa.
CVE-2026-113616
- Producte afectat: Plugin *LogixFast Auth* <= 1.0.3
- Què és: Un error que permet a un atacant prendre el control d'una compte sense necessitat d'estar autenticat.
- Com s'ataca: L'atacant podria crear una compte amb els mateixos privilegis que un usuari ja existent.
- Què pot ocasionar: Robatori d'identitat, accés no autoritzat a funcionalitats restringides.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha informació d'exploitació activa.
CVE-2026-86596
- Producte afectat: Plugin *s2Member* <= 260927
- Què és: Un error que permet executar codi maliciós des d'un paràmetre d'entrada.
- Com s'ataca: Un atacant podria enviar una sol·licitud maliciosa que executi codi al servidor.
- Què pot ocasionar: Execució de comandes arbitràries, el que podria permetre a l'atacant prendre el control del lloc.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha informació d'exploitació activa.
CVE-2026-93754
- Producte afectat: Plugin *payever – WooCommerce Gateway* <= 4.8.0
- Què és: Un error que permet la càrrega d'arxius arbitraris, el que podria portar a l'execució de codi maliciós.
- Com s'ataca: Un atacant podria pujar un arxiu maliciós i executar-lo al servidor.
- Què pot ocasionar: Execució de codi arbitrari, el que podria permetre a l'atacant prendre el control del lloc.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha informació d'exploitació activa.
CVE-2026-104014
- Producte afectat: Plugin *Naimur Email OTP Verification for WooCommerce* <= 2.1.0
- Què és: Un error que permet l'accés no autoritzat a comptes mitjançant contrassenyes abandonades.
- Com s'ataca: Un atacant podria aprofitar una contrasenya abandonada per iniciar sessió com si fos l'usuari legítim.
- Què pot ocasionar: Robatori d'identitat, accés no autoritzat a funcionalitats restringides.
- Gravetat (CVSS): 9,8
- Probabilitat d'ús (EPSS): Alta
- Ja s'exploita?: No hi ha informació d'exploitació activa.
Com hem arribat fins aquí
L'evolució de les vulnerabilitats greus a WordPress ha estat fluctuant en les darreres setmanes:
- 29/09 al 03/10: 132 vulnerabilitats greus
- 06/10 al 10/10: 240 vulnerabilitats greus (+81,8%)
- 13/10 al 17/10: 284 vulnerabilitats greus (+18,3%)
- 20/10 al 24/10: 90 vulnerabilitats greus (-68,3%)
- 27/10 al 02/11: 182 vulnerabilitats greus (+102,2%)
- 03/11 al 08/11 (aquesta setmana): 166 vulnerabilitats greus (-8,8%)
La mitjana de les darreres 5 setmanes és de 186 vulnerabilitats greus, i aquesta setmana s'ha situat en 166, el que representa un 10,6% menys que la mitjana. El màxim registrat va ser de 284 vulnerabilitats, i el mínim va ser de 90. La tendència general és a la baixa, i la projecció lineal suggereix que la setmana que ve podríem veure al voltant de 163 vulnerabilitats greus, el que representa un 2,1% menys que aquesta setmana.
Què està passant darrere dels números
Aquests dades reflecteixen l'activitat de desenvolupadors i experts en seguretat que identifiquen i informen d'errors en plugins i temes de WordPress. Tot i que el nombre de vulnerabilitats pot semblar alt, la majoria d'elles es resolen amb actualitzacions. El que veiem és una tendència a la baixa, el que suggereix que els desenvolupadors estan respondent ràpidament als problemes informats.
Una possible interpretació és que els desenvolupadors estan millorant els seus processos de seguretat i respondent més ràpid als errors informats. També és possible que hi hagi menys plugins nous amb errors greus aquesta setmana, el que explicaria la disminució.
Què podem esperar
Si la tendència actual es manté, el previsible és que en les properes 2-4 setmanes veiem entre 160 i 170 vulnerabilitats greus per setmana. Això seria un escenari optimista, ja que significa que els desenvolupadors segueixen resolent els problemes ràpidament.
Un escenari pesimista seria si es detectessin nous patrons d'atac o si s'identifiquessin errors greus en plugins molt populars. En aquest cas, podríem veure un augment en el nombre de vulnerabilitats informades.
Senyals d'alerta a vigilar:
- Un augment sobtat en el nombre de vulnerabilitats greus.
- L'aparició d'errors amb exploitació activa (KEV = S).
- Un augment en el nombre de plugins amb versions sense suport.
Com pot afectar a la teva web o al teu negoci
Imagina que tens una botiga online amb WordPress i uses un plugin que no està actualitzat. Un atacant podria aprofitar una d'aquestes vulnerabilitats per:
- Tomar el control del teu lloc: Si l'atacant aconsegueix accés, podria canviar el contingut del teu web, robar dades dels clients o fins i tot tancar el teu lloc.
- Robar dades dels clients: Si l'atacant té accés a la base de dades, podria robar adreces, correus, números de targetes de crèdit, etc.
- Danyar la teva reputació: Si el teu lloc es plena de publicitat de farmàcia o es converteix en un punt de distribució de malware, Google podria marcar-lo com perillós i perdries clients.
Això podria significar pèrdues econòmiques, multes per incumpliment de la RGPD i una pèrdua de confiança en la teva marca.
Com pots protegir-te i prevenir
- Actualitza els teus plugins i temes regularment: Les actualitzacions solen incloure remeis per als errors més recents. Si uses plugins instal·lats des de SWPanel, pots activar les actualitzacions automàtiques des del panell.
- Usa contrassenyes fortes i úniques: Una contrasenya dèbil o repetida pot ser fàcilment endevinada o robada. Usa un generador de contrassenyes i evita reutilitzar-les.
- Habilita l'autenticació de dos factors (2FA): La 2FA afegeix una capa extra de seguretat, el que dificulta que un atacant accedeixi a la teva compte fins i tot si té la teva contrasenya.
- Usa un firewall web: Un firewall web filtra les sol·licituds malicioses abans d'arribar a la teva aplicació. Pots activar-lo des del panell de hosting si estàs usant un servei de SWPanel.
- Revisa els permisos dels usuaris: Assegura't que només els usuaris necessaris tinguin accés a funcionalitats crítiques. Si un usuari ja no necessita accés, revoca'l.
- Usa plugins de seguretat: Plugins com Wordfence o iThemes Security poden ajudar-te a detectar i bloquejar intents d'atac.
- Fes còpies de seguretat periòdiques: En cas que el teu lloc sigui compromès, una còpia de seguretat recent et permet restaurar-lo ràpidament.
- Manté el teu WordPress actualitzat: Assegura't que WordPress estigui actualitzat a la darrera versió estable. Les actualitzacions solen incloure remeis per als errors més recents.
- Usa un servei de detecció de vulnerabilitats: L'anàlisi de seguretat de les webs a Seguretat 360 pot detectar CMS, plugins i versions amb errors coneguts i marcar la teva web al panell.
- Vigila els avisos de seguretat: Subscriu-te al Butlletí i als avisos de seguretat de Seguretat 360 per rebre notificacions quan surtin nous errors que et puguin afectar.
Quines eines de SWPanel et poden ajudar
- Anàlisi de seguretat de les webs a Seguretat 360: Detecta CMS, plugins i versions amb errors coneguts i marca la teva web al panell.
- Butlletí i avisos de seguretat de Seguretat 360: T'avisen quan surt un error que et pot afectar.
- BotLock: Controla i bloqueja bots i rastrejadors maliciosos de la teva web.
- FireWall: Filtra atacs web abans d'arribar a la teva aplicació.
- Actualització automàtica de CMS: Si instal·lastes la teva web des de SWPanel, pots activar les actualitzacions automàtiques per mantenir el teu WordPress actualitzat.
- Còpies de seguretat: Et permeten restaurar la teva web en cas que sigui compromesa.
- Canvi de versió de PHP: Si uses una versió sense suport, pots canviar a una versió amb suport des del servei de hosting.
- Suport per ticket: Si tens dubtes o necessites ajuda, pots contactar amb el nostre suport tècnic.
Resum ràpid
- Aquesta setmana s'han identificat 166 noves vulnerabilitats greus en plugins i temes de WordPress.
- La tendència general és a la baixa, i la projecció suggereix que la setmana que ve podríem veure al voltant de 163 vulnerabilitats.
- Les actualitzacions de plugins i temes, juntament amb bones pràctiques de seguretat, són claus per protegir la teva web.
Fonts
Les dades d'aquesta setmana provenen de catàlegs públics de vulnerabilitats com CISA KEV, Wordfence, Nuclei, Exploit-DB, Emerging Threats i EPSS.
