--- title: "WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota" description: "La vulnerabilidad CVE-2026-123751 del plugin de migración WP Duplicate (antes LocalSync) permite a un atacante sin credenciales subir archivos PHP y tomar el control del sitio. Está siendo explotada y no hay versión corregida." url: https://wpdirecto.com/wp-duplicate-vulnerabilidad-cve-2026-123751-explotada/ date: 2026-11-10 modified: 2026-11-10 author: "Editor WPDirecto" image: https://wpdirecto.com/wp-content/uploads/2026/11/wp-duplicate-vulnerabilidad-cve-2026-123751.png categories: ["Plugins", "Seguridad"] tags: ["plugins", "seguridad wordpress"] type: post lang: es --- # WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota **El plugin de migración WP Duplicate, conocido antes como LocalSync, tiene una vulnerabilidad crítica que permite a un atacante sin credenciales subir archivos al servidor, incluidos archivos PHP ejecutables, y está siendo explotada activamente. El fallo, registrado como CVE-2026-123751, afecta a todas las versiones hasta la 1.1.11, la última publicada, y no tiene parche. Patchstack lo publicó el 9 de noviembre de 2026 con una puntuación CVSS de 10, la máxima.** **Las claves de la vulnerabilidad de WP Duplicate en 20 segundos** - CVE-2026-123751 afecta a WP Duplicate 1.1.11 y anteriores. - Permite subir archivos PHP sin iniciar sesión y ejecutar código en el servidor. - WPScan confirma que se está explotando y no hay versión corregida. - Lo recomendable es desactivar y borrar el plugin y revisar el sitio. WP Duplicate es un plugin gratuito del directorio de WordPress.org, desarrollado por revmakx, que sirve para clonar o migrar un sitio de un servidor a otro, incluso a un entorno local. Según su ficha, tiene más de 200 instalaciones activas y su última actualización es de hace unos cinco meses. Es una cifra pequeña, pero el tipo de fallo es de los que los atacantes automatizan: basta con localizar sitios con el plugin y lanzar la petición. ## Dos fallos encadenados que acaban en ejecución remota de código Según la descripción de WPScan, que es la referencia que enlaza Patchstack, el problema combina dos deficiencias. La primera es una omisión de autenticación: el plugin no comprueba correctamente un valor de autenticación que viaja en las peticiones. La segunda es una subida de archivos sin control, porque tampoco valida la ruta de destino ni el tipo de archivo recibido. Juntas permiten a un atacante remoto escribir archivos arbitrarios en el servidor sin tener cuenta en WordPress. En la práctica, eso abre la puerta a colocar una webshell, ejecutar código PHP con los permisos del servidor web y comprometer el sitio completo, incluida la base de datos y los archivos de configuración. WPScan indica que la vulnerabilidad se está explotando activamente, aunque no ha publicado volúmenes de ataque ni indicadores de compromiso concretos. El hallazgo se atribuye a Mike Gozdiskowski. En la ficha de Patchstack, la vulnerabilidad aparece como de prioridad alta, con CVSS 10 y sin privilegios necesarios. La base de datos de vulnerabilidades del NIST (NVD) todavía no le había asignado su propia puntuación en el momento de publicar este artículo. ## No es el primer problema del plugin WP Duplicate acumula avisos similares en los últimos meses. Patchstack tiene registrada otra subida arbitraria de archivos en las mismas versiones, CVE-2026-39755, publicada el 6 de octubre de 2026 con CVSS 9,9. En ese caso el atacante necesitaba al menos una cuenta de suscriptor, y tampoco hay parche oficial. Antes hubo otra vulnerabilidad del mismo tipo, en la versión 1.1.8 y anteriores, que también requería una cuenta de suscriptor y se explotaba a través de la acción AJAX `process_add_site`. La diferencia ahora es que no hace falta ninguna cuenta. Los fallos que requerían un suscriptor afectaban sobre todo a sitios con registro de usuarios abierto. El nuevo se puede atacar desde fuera en cualquier instalación que tenga el plugin activo. ## Qué hacer si tienes WP Duplicate instalado Al no existir versión corregida, la medida segura es desactivar y eliminar el plugin. Los plugins de migración son herramientas de un solo uso: se instalan para mover un sitio y deberían borrarse al terminar, porque dejan abiertos puntos de entrada pensados para recibir archivos y datos desde otro servidor. Si se necesita volver a migrar más adelante, se puede reinstalar una versión corregida cuando exista o usar otra herramienta. Si el plugin ha estado activo, conviene revisar el sitio en busca de señales de compromiso: - Buscar archivos `.php` en `wp-content/uploads`, donde no debería haber ninguno, y archivos recientes o desconocidos en la carpeta del plugin y en la raíz del sitio. - Revisar la lista de usuarios administradores y eliminar cualquier cuenta que no se reconozca. - Comprobar los registros de acceso del servidor en busca de peticiones a archivos del plugin desde direcciones desconocidas. - Si hay indicios de intrusión, cambiar contraseñas de administradores, de la base de datos y de FTP o SFTP, regenerar las claves de `wp-config.php` y valorar restaurar una copia de seguridad limpia. Un cortafuegos de aplicaciones web con reglas virtuales puede bloquear intentos de explotación mientras se revisa el sitio, pero no sustituye a eliminar el plugin. También ayuda bloquear la ejecución de PHP en la carpeta de subidas desde la configuración del servidor, una medida que reduce el daño de este tipo de fallos aunque no los evita. ## Preguntas frecuentes ### ¿Qué versiones de WP Duplicate están afectadas? Todas hasta la 1.1.11 incluida, que es la última publicada. No existe todavía una versión corregida. ### ¿Se está explotando CVE-2026-123751? Sí. WPScan indica que la vulnerabilidad se está explotando activamente, aunque no ha publicado datos sobre el volumen de ataques. ### ¿Qué puede hacer un atacante con este fallo? Subir archivos PHP al servidor sin credenciales, instalar una webshell, ejecutar código y comprometer el sitio completo. ### ¿Basta con desactivar el plugin? Lo recomendable es desactivarlo y eliminarlo, y después revisar el sitio en busca de archivos PHP desconocidos y usuarios administradores que no se reconozcan. **Fuentes:** - [Patchstack: WP Duplicate <= 1.1.11 Unauthenticated Arbitrary File Upload](https://patchstack.com/database/wordpress/plugin/local-sync/vulnerability/wordpress-wp-duplicate-plugin-1-1-11-unauthenticated-arbitrary-file-upload-vulnerability) - [WPScan: aviso de CVE-2026-123751](https://wpscan.com/vulnerability/3a3556f0-fc36-4f68-b826-406a7b4c3f9e/) - [Patchstack: WP Duplicate <= 1.1.11 Arbitrary File Upload (CVE-2026-39755)](https://patchstack.com/database/wordpress/plugin/local-sync/vulnerability/wordpress-wp-duplicate-plugin-1-1-11-arbitrary-file-upload-vulnerability) - [WordPress.org: WP Duplicate](https://wordpress.org/plugins/local-sync/)