Vulnerabilidad en Elementor: 2 millones de sitios en riesgo

Vulnerabilidad en Elementor: una falla de falsificación de solicitud entre sitios (CSRF) en las versiones 4.3.0 y 4.3.1 permite crear cuentas de administrador en WordPress. Además, basta con que un administrador con sesión iniciada abra un enlace malicioso. De hecho, según WordPress.org, esas dos versiones corren en hasta 2 millones de sitios.

Cómo funciona la vulnerabilidad en Elementor

El problema está en el módulo Editor Events del plugin. Este revisa la URL cruda de cada petición. Si encuentra la ruta elementor/v1/events/, omite la validación del nonce de la API REST de WordPress. Sin embargo, esa URL también acepta parámetros controlados por el atacante.

En consecuencia, un atacante puede añadir esa ruta a una petición dirigida a otro endpoint de la API REST. Así, cuando el administrador hace clic, su propia sesión ejecuta la acción con todos sus privilegios. Por lo tanto, en una instalación por defecto el resultado es una nueva cuenta de administrador controlada por el atacante. Asimismo, no hace falta JavaScript, una página web propia ni un formulario: un solo enlace es suficiente.

Un parche en solo dos días

Por su parte, el investigador conocido como «Saggre» encontró la falla y la reportó a través de Patchstack. A su vez, Patchstack avisó al equipo de Elementor el 22 de septiembre de 2026. Dos días después, el 24 de septiembre, llegó la corrección en la versión 4.3.2.

No obstante, hasta ahora no hay reportes de explotación activa. Aun así, el enlace puede llegar por correo, por chat o en un comentario del propio sitio. Por eso conviene no confiarse: Elementor suma más de 10 millones de instalaciones activas.

Qué hacer ante la vulnerabilidad en Elementor

En la práctica, la defensa es sencilla si se actúa rápido. Puedes ver más artículos sobre WordPress y seguridad en nuestro blog.

• Actualizar ya: instala Elementor 4.3.2 o superior desde el panel de plugins.
• Revisar usuarios: busca administradores que no reconozcas creados desde el 22 de septiembre.
• Cuidar los clics: no abras enlaces sospechosos con la sesión de administrador iniciada.
• Separar cuentas: usa un perfil de editor para el trabajo diario y deja el de administrador solo para tareas de gestión.

Finalmente, la vulnerabilidad en Elementor recuerda que un plugin popular es también un objetivo popular. Actualizar a tiempo sigue siendo la mejor defensa.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: BleepingComputer, Patchstack, The Hacker News.