Una vulnerabilidad de inyección SQL pone en riesgo a más de 600.000 sitios WordPress con Backuply

Una vulnerabilidad de seguridad en Backuply, un plugin de copias de seguridad para WordPress con más de 600.000 instalaciones activas, puede permitir que un atacante autenticado llegue a tomar el control de un sitio. El problema descrito por Wordfence corresponde a una inyección SQL de segundo orden y requiere una combinación concreta de permisos y acciones dentro de la instalación.

Según la información publicada, Wordfence recibió el 17 de septiembre de 2026 una notificación sobre esta vulnerabilidad. El resumen disponible no especifica una versión corregida del plugin ni detalla si existe una actualización de seguridad, por lo que los administradores deben comprobar directamente el estado de Backuply antes de tomar medidas.

Cómo funciona la vulnerabilidad de Backuply

La vulnerabilidad se clasifica como una inyección SQL de segundo orden. A diferencia de un ataque en el que la carga maliciosa se ejecuta inmediatamente al enviarse, en este caso el atacante consigue almacenar primero un contenido manipulado. La ejecución se produce más adelante, cuando una función legítima de la aplicación utiliza ese contenido en una consulta a la base de datos.

En el escenario descrito por Wordfence, un usuario autenticado con permisos de suscriptor o superiores puede guardar una carga SQL maliciosa. Esa carga queda almacenada hasta que un administrador restaura posteriormente una copia de seguridad de la base de datos. Durante ese proceso, el contenido puede ejecutarse y alterar la información utilizada por WordPress.

El riesgo no depende, por tanto, de que el atacante tenga inicialmente permisos de administrador. Basta con que disponga de una cuenta con acceso autenticado y un nivel de privilegios de suscriptor o superior, siempre que pueda introducir la carga en el flujo afectado. La posterior restauración de una copia por parte de un administrador completa la cadena de ataque descrita.

De una cuenta limitada al control del sitio

La consecuencia principal comunicada por Wordfence es una escalada de privilegios. El atacante puede modificar los datos de la instalación para elevar su cuenta hasta el nivel de administrador. Con ese acceso, el control del sitio puede quedar comprometido, ya que el rol administrativo permite gestionar la configuración, los usuarios y otros componentes de WordPress.

El resumen de la investigación indica que el resultado final puede ser la toma de control del sitio. No se detallan, en la información disponible, campañas activas, sitios concretos afectados ni pruebas sobre ataques en curso. Por ello, conviene diferenciar entre la capacidad técnica asociada a la vulnerabilidad y la confirmación de incidentes reales.

Por qué las copias de seguridad también requieren protección

Las copias de seguridad suelen considerarse una medida de recuperación, pero el caso de Backuply muestra que los procesos de restauración también forman parte de la superficie de ataque. Una función que normalmente se utiliza para recuperar una web puede convertirse en el momento en el que se procesa una carga almacenada con anterioridad.

Esto no significa que restaurar cualquier copia de seguridad sea inseguro. El riesgo descrito está relacionado con la forma en que Backuply maneja determinados datos y con la presencia previa de un usuario autenticado capaz de guardar el contenido malicioso. Aun así, el incidente subraya la importancia de controlar quién tiene cuentas en WordPress y qué procedimientos se siguen al restaurar una base de datos.

Medidas recomendables para administradores

Con los datos disponibles no se identifica una versión concreta que deba instalarse ni se confirma la disponibilidad de un parche. Por ese motivo, los responsables de sitios que utilicen Backuply deberían comprobar el estado del plugin en su panel de WordPress, revisar la información del desarrollador y aplicar una actualización de seguridad cuando esté disponible.

• Revisar las cuentas existentes: conviene comprobar qué usuarios tienen acceso y eliminar o desactivar cuentas que ya no sean necesarias.
• Limitar los privilegios: los usuarios deberían disponer únicamente del nivel de acceso imprescindible para su trabajo.
• Examinar restauraciones recientes: es recomendable revisar cuándo se han restaurado copias y quién inició esas operaciones.
• Vigilar cambios de usuarios: la aparición de nuevas cuentas administrativas o modificaciones inesperadas de roles merece una investigación inmediata.
• Mantener una copia independiente: las copias protegidas y separadas del sitio pueden facilitar la recuperación si se detecta una intrusión.

Estas medidas no sustituyen a una corrección del plugin, pero ayudan a reducir la exposición mientras se verifica el estado de la vulnerabilidad. Si se sospecha que una instalación ha sido comprometida, la revisión debería incluir los usuarios administrativos, los registros disponibles y los cambios recientes en la configuración del sitio.

Qué significa para usuarios y profesionales

Para los usuarios finales, el aviso recuerda que una cuenta aparentemente limitada también puede representar un riesgo cuando una aplicación almacena y procesa datos sin validarlos correctamente. El hecho de que el ataque descrito requiera autenticación no elimina la amenaza: las credenciales de suscriptores pueden obtenerse mediante registros abiertos, cuentas abandonadas o accesos reutilizados.

Para administradores, agencias y profesionales de WordPress, el caso refuerza la necesidad de tratar los plugins de copias de seguridad como componentes críticos. No basta con comprobar que una copia puede crearse y restaurarse; también es necesario mantener el plugin actualizado, controlar los permisos y revisar los efectos de las operaciones de recuperación.

Backuply cuenta con más de 600.000 instalaciones activas, según el resumen difundido por Wordfence. La información pública proporcionada no permite determinar cuántos sitios han sido explotados ni qué versiones concretas están afectadas. La prioridad práctica es verificar el estado del plugin, reducir las cuentas innecesarias y seguir las indicaciones de seguridad que publique el desarrollador.

---

Fuente: Wordfence Blog.