CVE-2026-92097: fallo crítico en Click to Chat for WhatsApp

Qué es y a quién afecta

El plugin Click to Chat for WhatsApp para WordPress incorpora un fallo de seguridad identificado como CVE-2026-92097, catalogado como Arbitrary Shortcode Execution (ejecución arbitraria de shortcodes) y clasificado con un CVSS 3.1 de 9.1 (CRITICAL) bajo el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. El tipo de debilidad es CWE-94 y la vulnerabilidad fue publicada en la NVD del NIST el 14 de octubre de 2026.

Afecta a todas las versiones del plugin hasta la 4.44 inclusive. Es decir, cualquier instalación de WordPress que tenga activa esa versión o una anterior y que use las plantillas de saludo del plugin queda dentro del radio de impacto. No hablamos de un componente exótico: Click to Chat for WhatsApp se usa muchísimo en comercios online y webs corporativas para abrir conversaciones de WhatsApp desde la propia página, algo muy habitual en pymes y tiendas PrestaShop o WooCommerce que quieren atender rápido.

El fallo es especialmente delicado por dos motivos. El primero, que no requiere autenticación: un atacante anónimo puede desencadenarlo desde fuera. El segundo, que la ejecución de shortcodes arbitrarios abre la puerta a shortcodes registrados por el núcleo de WordPress, por el tema activo o por cualquier otro plugin instalado, lo que amplía mucho la superficie de ataque más allá del propio plugin afectado.

Por qué es urgente

Conviene ser precisos: según los datos disponibles, este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa en ataques reales. Eso no lo convierte en un problema menor. Un 9.1 crítico, explotable en red, sin privilegios y sin interacción del usuario es exactamente el tipo de vulnerabilidad que los atacantes automatizan en cuanto aparece un vector público.

La causa técnica merece atención porque explica por qué es tan fácil de provocar. La función greetings_dialog() construye el marcador {url} a partir de $_SERVER['REQUEST_URI'] filtrado con sanitize_text_field() en páginas de archivo, y después pasa el contenido del saludo ya sustituido a do_shortcode() en las plantillas greetings-1 y greetings-2, sin eliminar los delimitadores de shortcode. Como wp_kses() se ejecuta sobre main_content antes de la sustitución de {url}, los bytes controlados por el atacante llegan a do_shortcode() sin filtrar. El resultado: shortcodes que se ejecutan cuando no deberían.

En una pyme con una web WordPress o un comercio electrónico, esto puede traducirse en contenido inyectado, redirecciones, páginas fantasma o vías de entrada hacia otros componentes del sitio. En un negocio que factura online, cada hora que pasa con el plugin sin revisar es una hora de exposición innecesaria.

Qué hacer hoy

Estos son los pasos que recomendamos seguir sin esperar a mañana:

• Comprobar si el plugin está instalado y en qué versión. Si tienes Click to Chat for WhatsApp en la versión 4.44 o anterior, estás afectado. Revisa también si el sitio usa las plantillas de saludo, porque ahí se concentra el vector.
• Aplicar la actualización o la mitigación que indique el aviso del fabricante. El material de referencia no especifica qué versión corrige el fallo, así que no des por hecho ningún número: consulta el aviso oficial del plugin y aplica exactamente lo que indique. Si aún no hay versión corregida disponible, valora desactivar el plugin de forma temporal.
• Revisar indicios de intrusión. Busca cambios recientes en plantillas, contenido inyectado en páginas de archivo, shortcodes desconocidos en el contenido, usuarios o ficheros nuevos y modificaciones que no reconozcas. En WordPress, los registros de acceso y los cambios de ficheros son tus mejores aliados.
• Reducir lo expuesto a internet. Desactiva plugins que no uses, limita el acceso al panel de administración por IP o con doble factor, y mantén al día el núcleo, el tema y el resto de extensiones. Un plugin vulnerable es más peligroso cuando convive con otros desactualizados.
• Hacer copia de seguridad antes de tocar nada. Cualquier actualización o desactivación debe ir precedida de un backup verificado, para poder revertir si algo se rompe.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño y sin dedicación exclusiva a seguridad. Nuestro enfoque consiste en detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas.

En un caso como el de CVE-2026-92097, el trabajo empieza por inventariar qué plugins y versiones hay realmente en producción, algo que muchas empresas no tienen documentado. A partir de ahí, priorizamos por gravedad y exposición real, aplicamos los parches de seguridad con ventana de mantenimiento y verificamos que el sitio sigue funcionando. Si hay sospecha de intrusión, la respuesta a incidentes permite contener, limpiar y restaurar con garantías, además de revisar el cumplimiento del RGPD y la LOPDGDD si se han visto afectados datos personales.

La lección de fondo es sencilla: en WordPress, la seguridad no depende solo del núcleo, sino de cada plugin que instalas. Mantener ese inventario actualizado y revisar los avisos de la NVD y del fabricante es la diferencia entre enterarte por un aviso o enterarte por un incidente.

Relacionado

• Abuse Shield

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.