Vulnerabilidad en libheif: fotos HEIC que atacan WordPress

Vulnerabilidad en libheif: una foto HEIC manipulada, el formato que usan los iPhone, puede ejecutar comandos en un servidor con WordPress. Además, ya existe una prueba de concepto pública que muestra el ataque paso a paso. Por eso, aunque no se conocen ataques reales, conviene actualizar la librería cuanto antes.

Qué es la vulnerabilidad en libheif

libheif es la librería que muchos servidores usan para leer imágenes HEIC y AVIF. En concreto, la falla GHSA-x8r2-mggj-j6wr es un desbordamiento de memoria en su decodificador de imágenes sin compresión. Afecta a las versiones 1.18.0 a 1.23.2 y se corrigió en la 1.23.3.

Por su parte, la firma Fortbridge publicó el 5 de octubre de 2026 una cadena de ataque que combina esa falla con un segundo error. Así, una primera imagen filtra datos de la memoria del servidor y una segunda usa esos datos para ejecutar comandos. Cabe destacar que la falla todavía no tiene un número CVE asignado.

Cómo llega el ataque a WordPress

Cuando subes una imagen, WordPress crea copias en varios tamaños con la extensión Imagick de PHP. A su vez, Imagick usa ImageMagick, que llama a libheif para abrir el archivo HEIC. En consecuencia, los comandos se ejecutan con el usuario del servidor web.

No obstante, el ataque demostrado necesita una cuenta con permiso para subir archivos, como la de un Autor. Asimismo, un plugin que acepte imágenes de visitantes podría ampliar el riesgo, aunque eso no se probó. En las pruebas, el ataque funcionó en Ubuntu 26.04 y Debian 13.

Cómo protegerte de la vulnerabilidad en libheif

En la práctica, actualizar WordPress no basta, porque la falla está en el sistema operativo y no en el CMS. Estos son los pasos clave:

• Actualizar libheif: instala la versión 1.23.3 o el paquete de seguridad de tu distribución, o pídeselo a tu proveedor de hosting.
• Revisar tu versión: el riesgo depende de cómo se compiló la librería, así que confirma el aviso de tu distribución y no te guíes solo por el número.
• Bloquear formatos que no usas: si tu sitio no necesita HEIC ni AVIF, recházalos antes de procesarlos.
• Revisar los roles: limita quién puede subir archivos y elimina las cuentas de Autor que ya no se usan.
• Vigilar caídas: trata los errores 503 repetidos tras una subida de imagen como una posible alerta de seguridad.

Finalmente, este caso muestra que una simple foto puede ser la puerta de entrada a un servidor. Por lo tanto, ante la vulnerabilidad en libheif, el paso más urgente es confirmar que tu servidor ya tiene el parche.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: Fortbridge, eSecurity Planet, Webhosting Today.