WP Booking System: fallo crítico en versiones hasta 2.1.0.5

Qué es y a quién afectaEl plugin WP Booking System – Booking Calendar, una extensión de reservas para WordPress, arrastra un fallo de control de acces...

Qué es y a quién afecta

El plugin WP Booking System – Booking Calendar, una extensión de reservas para WordPress, arrastra un fallo de control de acceso recogido en el catálogo de vulnerabilidades del NIST con el identificador CVE-2026-116557. Según la ficha de la NVD, el problema está en la función wpbs_action_ajax_calendar_remove_note(): falta una comprobación de permisos (CWE-862, ausencia de autorización) antes de ejecutar el borrado de notas del calendario.

La consecuencia práctica es que un usuario autenticado con un rol tan bajo como Suscriptor —o cualquier rol superior— puede eliminar notas de calendario arbitrarias, incluidas las de calendarios que no le pertenecen. No hace falta ser administrador ni tener acceso al panel de gestión de reservas.

El alcance afecta a todas las versiones hasta la 2.1.0.5, incluida esta. La gravedad asignada es CVSS 3.1 de 9.1 (CRITICAL), con un vector que describe un ataque por red, de baja complejidad y sin necesidad de interacción por parte de la víctima. La publicación en la NVD lleva fecha del 31 de octubre de 2026.

Esto toca de lleno a pymes y comercios electrónicos españoles que han montado su web de reservas, citas o alquileres sobre WordPress con este plugin. También a negocios de Lleida, Barcelona, Tarragona o Girona con un equipo de IT reducido que no revisa cada extensión instalada.

Por qué conviene actuar sin esperar

Conviene ser precisos: este CVE no consta en el catálogo KEV de CISA, es decir, no hay constancia pública de que se esté explotando de forma activa en ataques reales. Eso no lo convierte en un asunto menor. Un fallo de control de acceso con puntuación crítica y explotable por cualquier cuenta autenticada es un objetivo cómodo para quien ya ha conseguido un acceso mínimo al sitio, por ejemplo a través de un registro abierto de usuarios o de credenciales filtradas.

En la práctica, el vector de ataque no requiere más que una sesión válida de Suscriptor. Muchos sitios WordPress permiten el registro de usuarios para comentarios, áreas privadas o descargas, lo que amplía la superficie expuesta sin que el propietario lo tenga presente. Y el daño no es cosmético: borrar notas de calendario puede eliminar información operativa de reservas, avisos internos o datos de clientes que después cuesta reconstruir.

La referencia oficial apunta a los cambios introducidos en el repositorio del plugin, lo que indica que el fabricante ha trabajado en la función afectada. La versión concreta que corrige el fallo debe confirmarse en el aviso del fabricante y en la ficha del plugin antes de dar el problema por resuelto.

Qué hacer hoy

Comprueba si usas el plugin y en qué versión. Entra en el listado de plugins de tu WordPress y localiza WP Booking System – Booking Calendar. Si la versión instalada es la 2.1.0.5 o anterior, estás dentro del rango afectado.
Aplica la actualización que indique el aviso del fabricante. No des por hecho un número de versión concreto: consulta la ficha del plugin y las notas oficiales y actualiza a la versión que allí se señale como corregida. Si aún no hay actualización disponible, valora desactivar el plugin de forma temporal o restringir el acceso al área de administración.
Revisa indicios de intrusión. Busca notas de calendario desaparecidas sin explicación, actividad reciente de usuarios con rol Suscriptor y registros de acceso sospechosos en los logs del servidor y del propio WordPress.
Reduce lo expuesto a internet. Desactiva el registro público de usuarios si no lo necesitas, limita el acceso a wp-admin por IP o con doble factor, y mantén al día el núcleo de WordPress, el tema y el resto de extensiones.
Haz copia de seguridad antes de tocar nada. Una copia reciente de base de datos y ficheros permite revertir si la actualización rompe algo o si descubres un borrado no deseado.

Cómo encaja un equipo de ciberseguridad en todo esto

Actualizar un plugin es la parte visible. El trabajo de fondo consiste en saber qué tienes instalado, qué versión corre en cada web y qué riesgo real supone cada extensión antes de que alguien la use en tu contra. En ALMC trabajamos con pymes y comercios online que tienen WordPress, PrestaShop o Joomla y no disponen de un departamento de seguridad propio.

Eso se traduce en auditorías de seguridad y pentesting para detectar vulnerabilidades como esta antes de que se exploten, hardening de servidores para cerrar puertas innecesarias, monitorización y respuesta a incidentes cuando algo se mueve fuera de lo normal, y mantenimiento y actualización controlada de los gestores de contenido. Si el sitio ya ha sufrido un borrado o una manipulación, también nos ocupamos de la reparación de webs hackeadas y de dejar constancia de lo ocurrido conforme al RGPD y la LOPDGDD.

La lección de CVE-2026-116557 es sencilla: en un WordPress con diez o veinte plugins, la seguridad depende del eslabón más flojo, y ese eslabón casi nunca es el que uno vigila.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.