**Nueva Vulnerabilidad Crítica en Fluent Forms Pro: CVE-2026-73532**
En el panorama actual de la ciberseguridad, la detección de vulnerabilidades críticas es un asunto que exige atención inmediata, no solo por el riesgo que representan, sino también por las potenciales repercusiones para los usuarios y las organizaciones que dependen de estos sistemas. En este contexto, se ha identificado una nueva vulnerabilidad, CVE-2026-73532, que afecta a la versión 6.2.7 de Fluent Forms Pro. Con una puntuación de 9.8 en la escala CVSS, esta vulnerabilidad se clasifica como crítica, lo que indica un riesgo significativo de explotación.
Fluent Forms Pro es un popular plugin de WordPress que permite a los usuarios crear formularios avanzados de manera sencilla. Sin embargo, la reciente vulnerabilidad expone a los sistemas que utilizan este plugin a un ataque a través de un código malicioso que se introdujo mediante una versión alterada del plugin, distribuida a través de un servidor de actualizaciones desactivado. Este código malicioso incluye un archivo PHP fraudulento, `libs/class-license-sync.php`, que se carga a través de una directiva `require_once` añadida al archivo `fluentformpro.php`. Esta manipulación establece un punto de acceso a una API REST a través de un backdoor, permite la instalación de archivos PHP persistentes en los directorios de mu-plugins y uploads, crea una cuenta de administrador sin contraseña y registra tareas programadas que permanecen incluso tras la eliminación del plugin.
Desde un punto de vista técnico, esta vulnerabilidad está clasificada como CWE-506, una categoría que identifica debilidades relacionadas con el manejo inadecuado de la seguridad en el software. Esto implica que la falta de controles adecuados sobre el código y las actualizaciones puede facilitar la introducción de vulnerabilidades críticas.
El vector de ataque para esta vulnerabilidad es de tipo NETWORK, lo que significa que los atacantes pueden explotar la debilidad a través de la red sin necesidad de interacción directa con el usuario o privilegios especiales. La baja complejidad del ataque lo convierte en una amenaza accesible para un amplio espectro de actores maliciosos, aumentando la urgencia de abordar esta vulnerabilidad.
La puntuación de 9.8 en la escala CVSS significa que esta vulnerabilidad está en la categoría más alta de riesgo, donde las probabilidades de explotación son elevadas y pueden resultar en la ejecución remota de código y la escalada de privilegios. Este tipo de vulnerabilidad no solo compromete la integridad de los sistemas afectados, sino que también puede derivar en la pérdida de datos sensibles y en la exposición de información crítica.
Para aquellos administradores de sistemas y responsables de seguridad, es imperativo actuar de inmediato. Las actualizaciones de seguridad ya están disponibles, y se recomienda encarecidamente su aplicación. Las organizaciones deben revisar sus infraestructuras para detectar posibles indicadores de compromiso que puedan haber surgido a raíz de esta vulnerabilidad. Además, monitorizar el tráfico de red en busca de actividades inusuales puede ayudar a identificar intentos de explotación en curso.
Para obtener más información técnica y detalles sobre los parches disponibles, los administradores pueden consultar las siguientes referencias: [Patchstack](https://patchstack.com/database/wordpress/plugin/fluentformpro/vulnerability/wordpress-fluent-forms-pro-add-on-pack-plugin-6-2-7-6-2-7-remote-code-execution-vulnerability), [WordPress Plugins](https://wordpress.org/plugins/fluentform/), y [WP Manage Ninja](https://wpmanageninja.com/security-incident-on-31-july-2026/).
La aparición de esta vulnerabilidad crítica en Fluent Forms Pro recuerda a las organizaciones la importancia de mantener sus sistemas actualizados y de implementar prácticas robustas de gestión de riesgos en ciberseguridad. La prevención y la pronta respuesta son clave para mitigar el impacto de las amenazas en este entorno digital cada vez más complejo.