Un plugin de seguridad no se libra de las vulnerabilidades, y Really Simple Security es un ejemplo muy bien documentado: trece vulnerabilidades publicadas entre abril de 2024 y septiembre de 2026, una de ellas crítica en 2024 y una serie de elusiones de la autenticación de dos factores en 2026. Esta es la cronología completa, verificada ficha por ficha, lo que permitía realmente cada fallo y las versiones que debes instalar para estar a salvo.
Really Simple Security en pocas palabras
Really Simple Security es el antiguo Really Simple SSL, publicado en wordpress.org desde marzo de 2015 por el desarrollador Really Simple Plugins (slug really-simple-ssl). El plugin se dio a conocer primero por activar HTTPS con un clic y corregir el contenido mixto. Después añadió funciones de seguridad: refuerzo, detección de vulnerabilidades, limitación de accesos, cabeceras de seguridad y autenticación de dos factores (2FA). Una edición Pro de pago completa la oferta.
Tiene más de 3 millones de instalaciones activas según wordpress.org (Wordfence hablaba de más de 4 millones a finales de 2024, contando las ediciones Pro). Dos razones lo convierten en un objetivo preferente. La primera es su difusión: un fallo explotable sin cuenta se convierte rápidamente en un ataque automatizado a gran escala. La segunda tiene que ver con su función: el código que gestiona el acceso y la 2FA decide directamente quién entra en la administración. Un error en ese punto no filtra un dato secundario, abre la puerta.
Cronología de las vulnerabilidades, de 2024 a septiembre de 2026
La base de WPScan registra 13 vulnerabilidades para este plugin, todas publicadas a partir de abril de 2024: no figura ninguna entrada anterior. Patchstack recoge 12, porque considera que dos identificadores de septiembre de 2026 son el mismo fallo. Diez de las trece entradas son de 2026, y cinco de ellas afectan a la autenticación de dos factores.
| Publicación | Corregido en | Tipo | CVSS | CVE | Cuenta necesaria | Explotación |
|---|---|---|---|---|---|---|
| 16 de abril de 2024 | 8.0.0 | Falsificación de peticiones del lado del servidor (SSRF) | 5,5 | CVE-2024-31229 | Administrador | Ninguna documentada |
| 14 de noviembre de 2024 | 9.1.2 (afectadas: 9.0.0 a 9.1.1.1, gratuita, Pro, Pro Multisite) | Elusión de la autenticación (2FA activada) | 9,8 | CVE-2024-10924 | Ninguna | Código público; intentos observados por CrowdSec |
| 24 de enero de 2025 | 9.2.0 | Falsificación de petición (CSRF) | 4,3 | CVE-2025-24623 | Ninguna (clic de un administrador) | Ninguna documentada |
| 15 de marzo de 2026 | 9.5.8 | Control de acceso ausente | 4,3 | CVE-2026-32461 | Suscriptor | Ninguna documentada |
| 12 de mayo de 2026 | 9.5.10.1 | Elusión del segundo factor por correo | 7,5 (WPScan) | CVE-2026-8293 | Ninguna, contraseña conocida | Ninguna documentada |
| 3 de junio de 2026 | 9.5.10 | Control de acceso ausente | 6,5 (WPScan 4,3) | CVE-2026-48969 | Suscriptor | Ninguna documentada |
| 3 de junio de 2026 | 9.5.10.1 | Autenticación defectuosa | 8,1 (WPScan 5,3) | CVE-2026-48970 | Ninguna, contraseña conocida | Ninguna documentada |
| 28 de agosto de 2026 | 9.8.0 | Instalación arbitraria de plugins en multisitio | 6,6 (WPScan) | CVE-2026-81766 | Administrador de subsitio | Ninguna documentada |
| 2 de septiembre de 2026 | 9.8.1 | Denegación de servicio | 5,3 (WPScan 7,5) | CVE-2026-84775 | Ninguna | Ninguna documentada |
| 2 de septiembre de 2026 | 9.8.1 | Elusión de la 2FA | 7,4 (WPScan 7,5) | CVE-2026-84777 | Ninguna | Ninguna documentada |
| 11 de septiembre de 2026 | 9.8.1 (afectadas: 9.5.10.1 a 9.8.0) | Restablecimiento de la 2FA por correo | 7,5 (WPScan) | CVE-2026-89080 | Ninguna, contraseña conocida | Ninguna documentada |
| 14 de septiembre de 2026 | 9.8.2 | Periodo de gracia de la 2FA prolongado indefinidamente | 4,3 | CVE-2026-82519 | Suscriptor | Ninguna documentada |
| 16 de septiembre de 2026 | 9.8.3 (afectadas: 8.1.6 a 9.8.2) | Crecimiento ilimitado de una opción (denegación de servicio) | 6,5 (WPScan) | CVE-2026-88798 | Ninguna | Ninguna documentada |
Conviene señalar dos diferencias de puntuación. Para CVE-2026-48970, Patchstack da un 8,1, mientras que WPScan y Wordfence muestran un 5,3. Para la denegación de servicio CVE-2026-84775 ocurre lo contrario: 5,3 en Patchstack, 7,5 en WPScan. La puntuación depende de la hipótesis que se adopte sobre las condiciones del ataque, de ahí el interés de leer la descripción y no solo la cifra.
Los fallos destacados, explicados
Noviembre de 2024: CVE-2024-10924, acceso sin contraseña
Es el fallo más grave del historial, con un 9,8. En las versiones 9.0.0 a 9.1.1.1, una ruta de la API REST ligada a la 2FA iniciaba la sesión del usuario solicitado incluso cuando el token de verificación no era válido. Un visitante anónimo podía así abrir una sesión de administrador, siempre que la 2FA estuviera activada en el sitio (no lo está por defecto). István Márton, de Wordfence, lo notificó el 6 de noviembre de 2024; la versión 9.1.2 salió el 12 de noviembre para las ediciones Pro y el 14 de noviembre para la edición gratuita, con una actualización forzada organizada junto con el equipo de plugins de wordpress.org. Detallamos el mecanismo y la respuesta en nuestro análisis del fallo CVE-2024-10924.
Poco después de la divulgación se publicó un código de explotación. El rastreador de CrowdSec indica que observó una primera explotación real el 25 de noviembre de 2024, aunque precisa que no detectó actividad significativa en su red. El fallo no figura en el catálogo KEV de la CISA.
Mayo y junio de 2026: el segundo factor eludido con la contraseña
En 2026, la 2FA del plugin volvió a ser el principal punto débil, pero con un escenario distinto. CVE-2026-8293, publicada por WPScan el 12 de mayo y notificada por John Umoru, describe dos puntos de acceso REST de la 2FA que no exigían realmente el código enviado por correo: un atacante que ya conocía la contraseña de una cuenta obtenía una sesión sin pasar el segundo factor. CVE-2026-48970, notificada a Patchstack el 17 de abril y publicada el 3 de junio, es del mismo tipo (autenticación defectuosa, contraseña de la víctima necesaria según Patchstack). Ambas se corrigen en la versión 9.5.10.1 del 29 de abril de 2026, cuyo registro de cambios menciona una actualización del proceso de acceso con 2FA.
Estos fallos no abren un sitio a cualquiera. Lo que sí hacen es anular la protección para la que existe la 2FA: frenar a un atacante que ha obtenido una contraseña por una filtración, phishing o reutilización. El parche estaba disponible varias semanas antes de la publicación de las fichas, lo que dio ventaja a los sitios actualizados automáticamente.
Agosto de 2026: instalar un plugin desde un subsitio
CVE-2026-81766, notificada por Charles Vosburgh y publicada por WPScan el 28 de agosto de 2026, solo afecta a las redes multisitio. La función de instalación de plugins recomendados (rsp_upgrade_install_plugin) no comprobaba que el usuario tuviera permiso para instalar plugins. El administrador de un simple subsitio podía, por tanto, depositar y ejecutar código en la carpeta de plugins compartida por toda la red, un permiso normalmente reservado al superadministrador. Condición importante: el superadministrador debe haber abierto el menú Plugins a los subsitios, lo que no es el ajuste por defecto. Parche: 9.8.0, publicada el 25 de agosto de 2026.
Septiembre de 2026: tres versiones correctivas en quince días
A principios de septiembre, varios investigadores apuntaron a la misma zona del código, y el desarrollador encadenó las versiones 9.8.1 (1 de septiembre), 9.8.2 (14 de septiembre) y 9.8.3 (15 de septiembre).
- Elusión de la 2FA sin cuenta (CVE-2026-84777): notificada a Patchstack por Ananda Dhakal el 20 de agosto, corregida en 9.8.1 y publicada el 2 de septiembre, con un 7,4. Patchstack precisa que otra autoridad publicó el mismo problema como CVE-2026-89080, que WPScan describe como el restablecimiento, sin autenticación, de un registro de 2FA por correo ya completado, lo que permite a un atacante que conoce la contraseña obtener la sesión, hasta el nivel de administrador. Según WPScan, esta última afecta a las versiones a partir de la 9.5.10.1.
- Denegación de servicio sin cuenta (CVE-2026-84775): notificada por el mismo investigador, corregida en la misma versión 9.8.1.
- Periodo de gracia prolongado (CVE-2026-82519): un usuario conectado, aunque fuera suscriptor, podía reiniciar el plazo concedido antes de la activación obligatoria de su 2FA y aplazar esa obligación indefinidamente. Corregida en 9.8.2.
- Opción inflada con direcciones IP falsas (CVE-2026-88798): el módulo que vigila los errores 404 guardaba la dirección IP declarada por el cliente como clave de una opción, sin validarla. Un visitante anónimo podía hacer crecer esa opción sin límite y ralentizar el procesamiento de las páginas no encontradas. Corregida en 9.8.3.
El registro de la versión 9.8.3 menciona también la corrección de una «elusión de 2FA restante en la autenticación XML-RPC», sin ficha de vulnerabilidad asociada en las bases consultadas.
Los fallos menores
El resto del historial es de gravedad media: una SSRF explotable solo por un administrador (2024, notificada por Ananda Dhakal de Patchstack), una CSRF que requiere engañar a un administrador (2025) y dos controles de acceso ausentes al alcance de un simple suscriptor (marzo y junio de 2026). En un sitio sin registro público, el riesgo de los fallos «de suscriptor» es limitado, pero se vuelve real en una tienda o un sitio de miembros.
Lo que muestra este historial
- La 2FA concentra los fallos. Uno crítico en 2024 y después cinco fichas en 2026 (CVE-2026-8293, 48970, 84777, 89080 y 82519) tratan del segundo factor o de su obligatoriedad. La versión 9.5.10.1, que corregía el proceso de acceso con 2FA, está a su vez afectada por CVE-2026-89080 según WPScan: el código de autenticación es lo más delicado de un plugin de seguridad.
- La explosión de 2026 refleja también la atención de los investigadores. Diez fichas en nueve meses, procedentes de Patchstack, WPScan y VulnCheck, a menudo dentro de programas de recompensas. Más notificaciones no significa un código peor que otros, sino que un plugin muy instalado y ligado a la seguridad se examina con lupa.
- Los parches llegan rápido. Ocho días entre la notificación y el parche para CVE-2024-10924, doce días para CVE-2026-48970 y también doce para CVE-2026-84777. En varios casos, la versión corregida salió antes de la publicación de la ficha.
- La actualización forzada sigue siendo la excepción. Está documentada en 2024 para el fallo crítico; no hemos encontrado ninguna mención de una actualización forzada para los fallos de 2026. Los sitios sin actualizaciones automáticas siguieron expuestos hasta que intervino su administrador.
- Una ventaja relativa de las elusiones de 2026: la mayoría suponen que el atacante ya conoce la contraseña. Una contraseña única y robusta limita su alcance, lo que no ocurría en 2024.
Este patrón no es exclusivo de Really Simple Security: nuestra cronología de las versiones de seguridad del núcleo de WordPress y nuestras cifras sobre plugins vulnerables muestran que todo software muy extendido vive a este ritmo. Lo que cuenta es la rapidez con la que el parche llega a tu sitio.
Cómo protegerte
- Comprueba la versión en Plugins: la 9.8.3 o posterior corrige todos los fallos de esta lista. Con una edición Pro, asegúrate de que la licencia está activa, porque una licencia caducada ya no recibe actualizaciones.
- Activa las actualizaciones automáticas para este plugin, como se explica en nuestra guía sobre las actualizaciones automáticas de plugins. Los fallos de 2026 demuestran que no hay que contar con una actualización forzada.
- Mantén la 2FA, pero no la consideres la única barrera: unas contraseñas únicas y la limitación de intentos de acceso restan interés a las elusiones que suponen una contraseña conocida. Nuestro artículo sobre la autenticación de dos factores detalla las buenas prácticas.
- Evita duplicados: si otro plugin ya se encarga de la 2FA o de la seguridad del acceso, desactiva la función duplicada o elimina el plugin innecesario (consulta plugins abandonados e inútiles). Menos código activo significa menos superficie de ataque.
- Añade un cortafuegos de aplicación capaz de aplicar parches virtuales (comparativa de WAF). En 2024, Wordfence distribuyó una regla el 6 de noviembre para sus clientes de pago y el 6 de diciembre para la versión gratuita; Patchstack indica en cambio que no era posible ningún parche virtual para CVE-2026-48970 ni CVE-2026-84777.
- Vigila las vulnerabilidades publicadas para los plugins instalados, como se describe en nuestro artículo sobre la vigilancia de vulnerabilidades.
WP Masquerade Pro puede ayudarte en este último punto, sin sustituir a las actualizaciones. Cada día compara las versiones instaladas de tus plugins y temas con la base pública WPVulnerability.net y te envía una alerta de vulnerabilidad por correo electrónico con la gravedad y la versión corregida. Las actualizaciones pendientes y los sitios vulnerables aparecen en el área de miembros (supervisión de los sitios). WP Masquerade no corrige los fallos y no es un cortafuegos: te avisa para que apliques el parche a tiempo. Para comparar plugins de seguridad, consulta nuestra selección de los mejores plugins de seguridad para WordPress.
En resumen
- 13 vulnerabilidades publicadas en WPScan de abril de 2024 al 24 de septiembre de 2026, 10 de ellas en 2026.
- Solo una crítica: CVE-2024-10924 (9,8), corregida en 9.1.2 con actualización forzada.
- Cinco fichas de 2026 afectan a la autenticación de dos factores; la mayoría suponen una contraseña ya conocida.
- Versión mínima recomendada a 24 de septiembre de 2026: 9.8.3.
- Las actualizaciones automáticas, las contraseñas únicas y la vigilancia de vulnerabilidades siguen siendo las mejores defensas.
Fuentes
- WordPress.org: Really Simple Security, registro de cambios (versiones 9.1.2 a 9.8.3) (enlace externo, se abre en una pestaña nueva)
- NVD: CVE-2024-10924 (15 de noviembre de 2024) (enlace externo, se abre en una pestaña nueva)
- CVE.org: CVE-2024-31229, Really Simple SSL hasta 7.2.3 SSRF (18 de abril de 2024) (enlace externo, se abre en una pestaña nueva)
- CISA: Known Exploited Vulnerabilities Catalog (enlace externo, se abre en una pestaña nueva)
Otras fuentes consultadas: otras fichas CVE, páginas oficiales de los editores, publicaciones de investigadores de seguridad, bases de datos de Wordfence, WPScan y Patchstack.
