El plugin de migración WP Duplicate, conocido antes como LocalSync, tiene una vulnerabilidad crítica que permite a un atacante sin credenciales subir archivos al servidor, incluidos archivos PHP ejecutables, y está siendo explotada activamente. El fallo, registrado como CVE-2026-123751, afecta a todas las versiones hasta la 1.1.11, la última publicada, y no tiene parche. Patchstack lo publicó el 9 de noviembre de 2026 con una puntuación CVSS de 10, la máxima.
Las claves de la vulnerabilidad de WP Duplicate en 20 segundos
WP Duplicate es un plugin gratuito del directorio de WordPress.org, desarrollado por revmakx, que sirve para clonar o migrar un sitio de un servidor a otro, incluso a un entorno local. Según su ficha, tiene más de 200 instalaciones activas y su última actualización es de hace unos cinco meses. Es una cifra pequeña, pero el tipo de fallo es de los que los atacantes automatizan: basta con localizar sitios con el plugin y lanzar la petición.
Según la descripción de WPScan, que es la referencia que enlaza Patchstack, el problema combina dos deficiencias. La primera es una omisión de autenticación: el plugin no comprueba correctamente un valor de autenticación que viaja en las peticiones. La segunda es una subida de archivos sin control, porque tampoco valida la ruta de destino ni el tipo de archivo recibido.
Juntas permiten a un atacante remoto escribir archivos arbitrarios en el servidor sin tener cuenta en WordPress. En la práctica, eso abre la puerta a colocar una webshell, ejecutar código PHP con los permisos del servidor web y comprometer el sitio completo, incluida la base de datos y los archivos de configuración. WPScan indica que la vulnerabilidad se está explotando activamente, aunque no ha publicado volúmenes de ataque ni indicadores de compromiso concretos.
El hallazgo se atribuye a Mike Gozdiskowski. En la ficha de Patchstack, la vulnerabilidad aparece como de prioridad alta, con CVSS 10 y sin privilegios necesarios. La base de datos de vulnerabilidades del NIST (NVD) todavía no le había asignado su propia puntuación en el momento de publicar este artículo.
WP Duplicate acumula avisos similares en los últimos meses. Patchstack tiene registrada otra subida arbitraria de archivos en las mismas versiones, CVE-2026-39755, publicada el 6 de octubre de 2026 con CVSS 9,9. En ese caso el atacante necesitaba al menos una cuenta de suscriptor, y tampoco hay parche oficial. Antes hubo otra vulnerabilidad del mismo tipo, en la versión 1.1.8 y anteriores, que también requería una cuenta de suscriptor y se explotaba a través de la acción AJAX process_add_site.
La diferencia ahora es que no hace falta ninguna cuenta. Los fallos que requerían un suscriptor afectaban sobre todo a sitios con registro de usuarios abierto. El nuevo se puede atacar desde fuera en cualquier instalación que tenga el plugin activo.
Al no existir versión corregida, la medida segura es desactivar y eliminar el plugin. Los plugins de migración son herramientas de un solo uso: se instalan para mover un sitio y deberían borrarse al terminar, porque dejan abiertos puntos de entrada pensados para recibir archivos y datos desde otro servidor. Si se necesita volver a migrar más adelante, se puede reinstalar una versión corregida cuando exista o usar otra herramienta.
Si el plugin ha estado activo, conviene revisar el sitio en busca de señales de compromiso:
.php en wp-content/uploads, donde no debería haber ninguno, y archivos recientes o desconocidos en la carpeta del plugin y en la raíz del sitio.wp-config.php y valorar restaurar una copia de seguridad limpia.Un cortafuegos de aplicaciones web con reglas virtuales puede bloquear intentos de explotación mientras se revisa el sitio, pero no sustituye a eliminar el plugin. También ayuda bloquear la ejecución de PHP en la carpeta de subidas desde la configuración del servidor, una medida que reduce el daño de este tipo de fallos aunque no los evita.
Todas hasta la 1.1.11 incluida, que es la última publicada. No existe todavía una versión corregida.
Sí. WPScan indica que la vulnerabilidad se está explotando activamente, aunque no ha publicado datos sobre el volumen de ataques.
Subir archivos PHP al servidor sin credenciales, instalar una webshell, ejecutar código y comprometer el sitio completo.
Lo recomendable es desactivarlo y eliminarlo, y después revisar el sitio en busca de archivos PHP desconocidos y usuarios administradores que no se reconozcan.
Fuentes:
