Casi todas las pequeñas empresas tienen un sitio web, y cada vez más venden a través de él. A finales de octubre, las tres plataformas en las que corren la mayoría de ellos necesitaron atención la misma semana, y una tienda conocida mostró lo que pasa con las tarjetas guardadas cuando vulneran una tienda en línea. Nada de esto requiere a un especialista. Requiere que alguien lo revise, esta semana.
WordPress: la ventana de la actualización
Cuando WordPress se actualiza a una versión nueva, descomprime los archivos en una carpeta temporal antes de ponerlos en su lugar. Hasta la 7.1.4, esa carpeta tenía un nombre predecible dentro de wp-content/upgrade y era accesible desde la web, y la copia temporal incluía el instalador de WordPress. Alguien atento a ese momento podía llegar al instalador y usarlo para ejecutar su propio código, sin tener cuenta en el sitio.
No es fácil: la ventana normalmente dura segundos, y Wordfence, que analizó la falla, la califica con 8.1 de 10 y una complejidad de ataque alta. Pero los atacantes no esperaron. Wordfence vio el primer intento de ataque nueve minutos después de activar una regla de detección el 28 de octubre y más de 18,500 intentos en las primeras 21 horas, incluidas dos fuentes que consultaron repetidamente pequeños grupos de sitios durante unas 14 horas. No se han reportado compromisos exitosos.
La corrección hace aleatorio el nombre de la carpeta y agrega protecciones. Se publicó para todas las ramas con soporte, hasta la 4.7.39. La mayoría de los sitios la reciben por actualizaciones automáticas en segundo plano, pero el consejo de Wordfence es revisarlo en lugar de suponerlo.
Drupal Commerce: explotada activamente
El equipo de seguridad de Drupal calificó la falla de Commerce Core con 21 de 25, "altamente crítica". Le permite a un atacante saltarse controles de acceso en algunas rutas y campos, de una forma que Drupal dice que "puede tener impacto financiero para el vendedor", es decir, para el dueño de la tienda. El aviso dice claramente que se está explotando. Las versiones corregidas son 3.3.13 para sitios actuales y 8.x-2.41 para los más viejos.
Magento: una corrección de julio, explotada ahora
CVE-2026-48356 permite a un atacante subir un archivo peligroso a una tienda Adobe Commerce o Magento y potencialmente ejecutar código, si alguien con acceso visita un enlace manipulado. Adobe la corrigió en su boletín de julio, APSB26-73. Que CISA la haya catalogado el 27 de octubre significa que los atacantes la están usando ahora, tres meses y medio después, contra tiendas que nunca instalaron la actualización de julio. Esa brecha, entre que una corrección está disponible y que una empresa la instala, es donde ocurren la mayoría de los compromisos de tiendas.
Revolve: lo que valen las tarjetas guardadas
Revolve, una tienda de moda en línea del área de Los Ángeles, dijo en su reporte a la SEC que un actor no autorizado "pudo haber obtenido, por medios automatizados, el nombre, los datos de contacto, el número de tarjeta de pago y la fecha de vencimiento de ciertos clientes que guardaron información de pago" en sus cuentas en línea. No ha dicho cómo entró el atacante ni cuándo, y no espera un impacto importante en su negocio.
Las palabras "por medios automatizados" e "información de pago guardada" llevan la lección para una tienda más pequeña. Cualquier dato de tarjeta que una tienda guarde por su cuenta vale la pena para automatizar un ataque. Una tienda que deja que su procesador de pagos guarde las tarjetas, y conserva solo un token, no tiene nada de eso que perder.
Qué hacer en concreto
Revisa tu versión de WordPress hoy. Ve a Escritorio → Actualizaciones y confirma que el sitio esté en la 7.1.4, o en la versión corregida de su rama. Luego busca en wp-content/upgrade archivos PHP que tú no hayas puesto, y en Usuarios cuentas de administrador que no reconozcas. Si tu proveedor de hosting lo permite, bloquea por completo el acceso web a wp-content/upgrade.
Si tienes una tienda en Drupal, actualiza Commerce Core ya y revisa los pedidos recientes. Busca pedidos, precios o descuentos que no puedas explicar desde mediados de octubre.
Si usas Magento o Adobe Commerce, asegúrate de tener instalada la actualización de seguridad de julio. Si no la tienes, ya no es mantenimiento: es una emergencia.
Deja de guardar números de tarjeta por tu cuenta. Si tu tienda guarda las tarjetas de los clientes, asegúrate de que lo haga la bóveda del procesador de pagos y no tu propia base de datos. Pregúntale a tu desarrollador o a tu plataforma cuál de las dos es.
Sabe quién parcha tu sitio. Muchas pequeñas empresas suponen que su desarrollador web, su agencia o su proveedor de hosting actualiza el sitio. Muchas veces nadie lo hace. Anota quién es responsable de las actualizaciones de tu sitio y de tu tienda, y cómo te enterarías si no se hicieron.
El resumen
Nada en la lista de esta semana era exótico. Un gestor de contenido, dos plataformas de tienda y las tarjetas guardadas de una tienda. Lo que comparten es el tiempo: la falla de WordPress se estaba sondeando en minutos, y la de Magento se explotó meses después de su corrección, contra tiendas cuyos dueños nunca la instalaron. Diez minutos para revisar la versión de tu sitio esta semana son la seguridad más barata que vas a comprar este año.
Fuentes
- WordPress 7.1.4 security release — WordPress.org
- WordPress 7.1.4 security release: remote code execution — Wordfence
- Fresh WordPress vulnerability in attackers' crosshairs — SecurityWeek
- Commerce Core: highly critical access bypass, SA-CONTRIB-2026-254 — Drupal Security Team
- Drupal warns of critical Commerce Core flaw exploited in attacks — BleepingComputer
- CISA adds two known exploited vulnerabilities to catalog — CISA
- Revolve Group Form 8-K — SEC
- Revolve discloses breach of saved payment cards — The Record
