En el panorama actual de la ciberseguridad, la identificación y la mitigación de vulnerabilidades se han convertido en tareas críticas para proteger la integridad de los sistemas informáticos. Recientemente, se ha detectado una vulnerabilidad grave, identificada como CVE-2026-7458, que ha sido calificada con una puntuación de 9.8 sobre 10 en la escala de gravedad CVSS. Este nivel de riesgo representa una amenaza significativa no solo para los propietarios de sitios web que utilizan WordPress, sino también para cualquier usuario que interactúe con esos sistemas, ya que podría comprometer datos sensibles y la operación general de los servicios.
El problema específico radica en el plugin User Verification de PickPlugins para WordPress. Esta vulnerabilidad permite saltar el proceso de autenticación en todas las versiones hasta e incluyendo la 2.0.46. El fallo se origina en el uso de un operador de comparación de PHP inadecuado, que se emplea para validar los códigos de un solo uso (OTP) en la función "user_verification_form_wrap_process_otpLogin". Debido a este error, un atacante no autenticado puede acceder a cualquier cuenta de usuario que tenga una dirección de correo electrónico verificada, incluidos los administradores, al enviar un valor OTP "true". Esto subraya la importancia de las prácticas de codificación seguras y la necesidad de realizar revisiones exhaustivas del código.
La vulnerabilidad está clasificada como CWE-288, lo que indica que se trata de una debilidad en el manejo de la autenticación, un aspecto fundamental en la seguridad de cualquier aplicación. El vector de ataque se define como NETWORK, lo que significa que no se requiere acceso físico al sistema afectado, y la complejidad del ataque es baja, lo que lo hace accesible incluso para quienes no son expertos en hacking. No se requieren privilegios especiales ni interacción del usuario para ejecutar el ataque, lo que aumenta la urgencia de la situación.
Con una puntuación CVSS de 9.8, esta vulnerabilidad se sitúa en la categoría de CRÍTICA, según el sistema de puntuación de vulnerabilidades común (CVSS v3.1), que clasifica las vulnerabilidades desde 0 hasta 10. Las fallas con puntuaciones superiores a 9.0 son consideradas de alto riesgo y, a menudo, permiten la ejecución remota de código, escalada de privilegios o un compromiso total del sistema, lo que podría tener repercusiones devastadoras para las organizaciones afectadas.
Para aquellos administradores de sistemas que buscan información técnica adicional y parches disponibles, se pueden consultar los siguientes enlaces que abordan el problema en detalle: [functions-rest.php](https://plugins.trac.wordpress.org/browser/user-verification/trunk/includes/functions-rest.php%23L234?rev=3461175), [hook.php](https://plugins.trac.wordpress.org/browser/user-verification/trunk/templates/email-otp-login-form/hook.php%23L164?rev=3461175) y [index.php](https://plugins.trac.wordpress.org/browser/user-verification/trunk/templates/email-otp-login-form/index.php%23L71?rev=3461175). Estos recursos ofrecen orientación sobre cómo implementar los parches de seguridad necesarios para mitigar la vulnerabilidad.
En consecuencia, se insta a todas las organizaciones que utilicen el plugin User Verification de PickPlugins a que apliquen los parches de seguridad disponibles de forma inmediata. Además, se recomienda revisar sus sistemas en busca de indicadores de compromiso y monitorizar el tráfico de red en busca de actividad sospechosa relacionada con esta vulnerabilidad. La proactividad en la gestión de vulnerabilidades es crucial para salvaguardar la integridad de los sistemas y la confianza de los usuarios en las plataformas digitales.