Una página le pide a un visitante que «verify you are human» (verifique que es humano), tiene el aspecto de Cloudflare y termina con una puerta trasera oculta en un sitio de WordPress. Si usted entra al panel de administración de su propio WordPress, es un motivo legítimo para preocuparse.
El ataque de verificación falsa de Cloudflare en WordPress que investigadores de seguridad reportaron en octubre de 2026 necesita una sola cosa de usted: un navegador que ya tenga sesión iniciada en su cuenta de administrador.
Securonix Threat Research (Akshay Gaikwad y Aaron Beardslee) describe el ataque en su informe «TRUST#GRAFT: JavaScript Attack Targets WordPress Admins with PHP Backdoor» (ataque de JavaScript contra administradores de WordPress con una puerta trasera en PHP), disponible al 27 de octubre de 2026. Un script en la pantalla falsa verifica si su navegador tiene sesión iniciada en WordPress y, con esa sesión, sube y activa un complemento (plugin) que usted nunca eligió.
Usted puede hacer la primera revisión por su cuenta en unos diez minutos. Empieza con su lista de administradores y termina con una carpeta que WordPress mantiene fuera de su lista de complementos.
Puntos clave
Securonix informa que la pantalla de verificación falsa busca un navegador que ya tenga sesión iniciada en WordPress con permiso para instalar complementos, y después sube un complemento falso llamado Web Media Optimizer.
Usuarios (Users), Complementos (Plugins), la carpeta wp-content/mu-plugins/ (busque wmedia-recovery.php) y los registros (logs) de su servidor. Un resultado limpio reduce el riesgo, pero no certifica el sitio.
Cloudflare dice que su desafío Turnstile normalmente no requiere ninguna acción del visitante, así que una página que le pide abrir Ejecutar (Run), PowerShell o Terminal no es una verificación de Cloudflare.
Qué hace el ataque en cuanto un administrador llega a la página
La pantalla falsa es solo el primer paso. Securonix dice que un script en esa página toma la huella digital de su navegador, envía el contenido de la página por los servidores del atacante y puede intentar poner un comando en su portapapeles para que usted lo pegue. Ese paso del portapapeles es una capacidad reportada, no una ejecución confirmada.
El paso que más le importa a un dueño de sitio viene después. El script verifica si su navegador ya tiene sesión iniciada en WordPress. Si su cuenta puede instalar complementos, toma prestada esa sesión y hace el resto por su cuenta, usando las mismas páginas de subida y activación que usted usaría.
La secuencia reportada, tal como la describe Securonix
- 1
Paso 1
Un cargador muestra una pantalla de verificación falsa al estilo de Cloudflare y toma la huella digital del navegador.
- 2
Paso 2
El script verifica si el navegador ya está autenticado en WordPress.
- 3
Paso 3
Si la cuenta puede instalar complementos, solicita /wp-admin/plugin-install.php?tab=upload y lee un nonce de WordPress, el token de un solo uso que WordPress usa para confirmar que una solicitud es real.
- 4
Paso 4
Descarga wm.zip y lo envía a update.php?action=upload-plugin.
- 5
Paso 5
Pide a WordPress que active el complemento, un falso «Web Media Optimizer» que instala una puerta trasera persistente en PHP.
Esto es un abuso de una sesión legítima de administrador y del flujo normal de instalación de complementos de WordPress, así que no es una falla del núcleo de WordPress. La misma lógica le da un límite útil: una cuenta sin permisos para instalar complementos no es lo que esta cadena está diseñada para usar. Sigue sin resolverse cómo la pantalla falsa llega por primera vez a un administrador, así que las revisiones sirven sin importar la ruta.
Obtenga un sí o un no sobre su propio sitio en diez minutos
Trabaje en este orden. Cada paso es rápido, y cualquiera de ellos puede terminar la búsqueda antes si encuentra algo.
Empiece por Usuarios (Users). Abra la pantalla de Usuarios en WordPress y revise a cada administrador. A cualquiera que usted no pueda explicar hay que suspenderlo o eliminarlo, pero confirme quién es el dueño de la cuenta y guarde un registro antes de borrar nada. Luego abra Complementos (Plugins) y busque uno llamado «Web Media Optimizer», cualquier cosa agregada recientemente y cualquier cosa que usted no haya instalado. Confirme que el inicio de sesión en dos pasos esté activado para todos los administradores.
La revisión de diez minutos, en orden
Revise a cada administrador. Suspenda lo que nadie pueda explicar y guarde evidencia antes de borrar.
Busque Web Media Optimizer, adiciones recientes y complementos que usted no instaló.
Confirme que esté activado para cada administrador.
Con acceso al hosting, abra wp-content/mu-plugins/ y busque archivos inesperados, sobre todo wmedia-recovery.php.
Busque en las solicitudes recientes las rutas de subida y activación, y los nombres de archivo y de dominio de la tabla.
El cuarto paso es el que atrapa a la gente. WordPress documenta que los complementos de uso obligatorio (must-use plugins) se activan automáticamente, no aparecen en la lista normal de complementos y no pueden desactivarse desde esa lista. Securonix identifica `wp-content/mu-plugins/wmedia-recovery.php` como el archivo de persistencia. Un sitio puede verse limpio en la pantalla de Complementos y aun así tener una copia ahí.
| Indicador del informe de Securonix | Dónde buscarlo |
|---|---|
| Complemento llamado Web Media Optimizer | Pantalla de Complementos en WordPress |
| wp-content/mu-plugins/wmedia-recovery.php | Administrador de archivos del hosting o SFTP |
| /wp-admin/plugin-install.php?tab=upload | Registros de acceso del servidor web |
| /wp-admin/update.php?action=upload-plugin | Registros de acceso del servidor web |
| /wp-admin/plugins.php?action=activate | Registros de acceso del servidor web |
| /p/wm.zip | Registros de acceso del servidor web |
| gerlace[.]com, vtevens[.]icu, caapman[.]me | Registros y código fuente de la página (candidatos a cargador que enumera el informe) |
| wm2_a, wm2_src, wm2_hc | Registros y archivos (cadenas que enumera el informe) |
Pida a su proveedor de hosting los registros de acceso si usted no puede consultarlos. Un resultado limpio en todo esto reduce el riesgo. No prueba que el sitio esté limpio, así que mantenga los hábitos de administración aun cuando no aparezca nada.
Reconozca una verificación real de Cloudflare antes de actuar ante una falsa
Una verificación auténtica le pide muy poco. Cloudflare dice que su desafío Turnstile se ejecuta en el navegador del visitante y, en la mayoría de los casos, no requiere ninguna acción adicional; cuando se necesita interacción, puede mostrar una simple casilla de verificación. La documentación de Cloudflare sobre cómo funcionan los desafíos cubre las verificaciones en el navegador, las pantallas de desafío de página completa y los widgets integrados que puede encontrar un visitante.
Nada en ese flujo le pide abrir el cuadro Ejecutar (Run) de Windows, el Símbolo del sistema (Command Prompt), PowerShell o Terminal, ni pegar nada. Una página que sí lo hace no concuerda con el flujo documentado de Turnstile. Ciérrela y no ejecute el comando. MITRE clasifica esta técnica como copiar y pegar malicioso. Un anzuelo relacionado está cubierto en nuestro artículo sobre GPTs personalizados falsos de ChatGPT y malware ClickFix.
El aspecto de Cloudflare de una pantalla no dice nada sobre quién construyó la página. Securonix describe una pantalla al estilo de Cloudflare, así que trate la marca como una imitación.
Evite que la próxima pantalla falsa llegue a su sitio
Securonix recomienda separar la administración de WordPress de la navegación común. En la práctica, eso significa entrar al panel en su propio navegador o perfil de navegador, cerrar sesión cuando termine y hacer su navegación diaria en otro lugar. Así se reduce la posibilidad de que una página sin relación llegue a su sesión de administrador. No reemplaza las actualizaciones, las copias de respaldo ni la seguridad de las cuentas.
El inicio de sesión en dos pasos sigue siendo necesario en cada cuenta de administrador, ya que la guía de endurecimiento (hardening) de WordPress recomienda la autenticación en dos pasos. Protege el inicio de sesión. La cadena reportada reutiliza una sesión que ya está iniciada, así que el inicio de sesión en dos pasos por sí solo no la detiene.
La misma guía de endurecimiento sugiere desactivar la edición de PHP desde el panel agregando `define( 'DISALLOW_FILE_EDIT', true );` a la configuración del sitio. Pruébelo primero con su proveedor de hosting, porque algunos flujos de trabajo dependen de la edición de archivos. Mantenga WordPress y los complementos actualizados, instale solo desde fuentes confiables y revise la pantalla de Usuarios con regularidad. Nuestras guías sobre cómo agregar y quitar usuarios administradores y cómo revisar los complementos por actualizaciones urgentes de seguridad cubren esas rutinas paso a paso.
Decida qué hacer si aparece algo
Si aparece cualquier indicador, trátelo como un incidente real. Guarde primero sus registros y copias de respaldo. Aísle el sitio, cambie las contraseñas de WordPress, del hosting, de la base de datos y de cualquier cuenta de despliegue (deployment), y haga una limpieza completa. Borrar solo el complemento visible deja la copia en mu-plugins, así que el acceso puede volver. Securonix recomienda quitar tanto los componentes visibles como los ocultos.
Usted puede hacer la primera revisión por su cuenta. Pida ayuda externa cuando encuentre un administrador sin explicación, el complemento Web Media Optimizer, un mu-plugin inesperado, PHP sospechoso, solicitudes de subida de complementos sin explicación o registros que falten. A partir de ahí, el trabajo es preservar la evidencia, eliminar todo por completo, recuperar credenciales y sesiones, restaurar una copia limpia y verificar que no quede nada. Nuestra guía sobre las primeras 24 horas después de un hackeo de sitio explica el orden de las primeras horas.
A veces los archivos no se pueden confiar en absoluto, porque no existe una copia de respaldo limpia o el sitio fue alterado en muchos lugares. En ese caso, reconstruir con código limpio es más seguro que limpiar alrededor del daño, y ahí es donde el trabajo de diseño web se gana su lugar.
Revise lo que sabe sobre este ataque
Elija una respuesta para empezar.
1. ¿Qué necesita el ataque reportado para instalar el complemento falso?
2. ¿Dónde dice el informe que puede quedar una copia persistente de la puerta trasera?
3. Una página de verificación le dice que abra PowerShell y pegue un comando. ¿Qué debe hacer?
Preguntas frecuentes sobre la verificación falsa de Cloudflare en WordPress
¿Puede una verificación falsa de Cloudflare instalar una puerta trasera en WordPress?
Securonix describe una ruta que sí puede. Un script en la página falsa usa el navegador de un administrador con sesión iniciada para subir y activar un complemento malicioso. Necesita una sesión con permisos para instalar complementos.
¿Es esto un agujero en el propio WordPress?
Securonix describe el abuso de una sesión de administrador autenticada y de la subida normal de complementos de WordPress, no una falla del núcleo de WordPress. Mantener WordPress actualizado sigue importando, pero las actualizaciones por sí solas no impiden que una sesión ya iniciada sea usada.
¿Qué debo revisar primero?
Revise en Usuarios a los administradores que no reconozca, en Complementos si aparece Web Media Optimizer o algo que usted no instaló, y en wp-content/mu-plugins/ si hay archivos inesperados, como wmedia-recovery.php. Luego revise sus registros en busca de las solicitudes de subida y activación.
¿El inicio de sesión en dos pasos lo detiene?
El inicio de sesión en dos pasos protege el acceso y debe estar en cada cuenta de administrador. La cadena reportada reutiliza una sesión que ya está iniciada, así que mantenga también un navegador aparte para el trabajo de administración.
¿Ver una página de verificación falsa significa que mi sitio tiene una puerta trasera?
No por sí solo. El paso de WordPress en el informe requiere un navegador de administrador que ya estaba con sesión iniciada y con permisos para instalar complementos. Haga la revisión de diez minutos y trate cualquier indicador como un incidente.
¿Debo pegar un comando que me da una verificación de Cloudflare?
No. Cloudflare dice que Turnstile normalmente no requiere ninguna acción adicional, y una página que le pide abrir Ejecutar, Símbolo del sistema, PowerShell o Terminal no concuerda con ese flujo.
En resumen
El ataque reportado depende de una sola cosa: un administrador que tiene sesión iniciada en WordPress mientras navega en otro lado. Revise Usuarios, Complementos, la carpeta mu-plugins y sus registros, en ese orden. Haga el trabajo de administración en su propio navegador, mantenga el inicio de sesión en dos pasos en cada cuenta y nunca ejecute un comando que le entregue una página de verificación.
Un resultado limpio le da tranquilidad por hoy y una rutina para el próximo mes. Un indicador le da una razón clara para preservar la evidencia y traer a alguien que pueda limpiar todo el sitio, y no solo la parte que usted ve.
Si aparece algo, o si el resultado no es claro, Web Leveling puede hacer una auditoría de seguridad del sitio web que cubra los archivos, los mu-plugins, los registros, las credenciales y las copias de respaldo, y que después verifique la limpieza. Trabajamos con pequeñas y medianas empresas en todo el país y en el extranjero. Contáctenos para una revisión de seguridad y le diremos lo que encontramos, incluso cuando la respuesta sea que no hay nada que corregir.
Términos
Términos usados en esta publicación
Toque un término para ver qué significa.
Sesión de administrador. El estado de inicio de sesión de su navegador después de entrar a WordPress, que le permite actuar con sus permisos hasta que cierre sesión.
Nonce. Un token de un solo uso que WordPress usa para confirmar que una solicitud vino de una acción real en el sitio.
Complemento de uso obligatorio (mu-plugin). Un complemento guardado en wp-content/mu-plugins/ que WordPress activa automáticamente y deja fuera de la lista normal de Complementos.
Puerta trasera (backdoor). Código oculto que permite a un atacante volver a entrar en un sitio más adelante.
Turnstile. El desafío de Cloudflare que verifica a un visitante en el navegador, normalmente sin ninguna acción de su parte.
Persistencia. Una forma en que el código malicioso permanece en un sitio después de la primera visita, por ejemplo, un archivo que se vuelve a cargar solo.
