Unit 42 observa webshells en YOOtheme Pro tras el parche de octubre

Unit 42 observó explotación real de CVE-2026-102785 en YOOtheme Pro y documentó la escritura de webshells en sitios vulnerables. El fallo permite ejecución remota de código sin autenticación a través del image handler del constructor. La ventana importa: el proveedor había publicado la versión corregida 5.0.53 el 21 de octubre y el equipo de investigación registró el primer webshell dos días después.

La evidencia describe una secuencia concreta, no una campaña medida a escala de Internet. Un scanner automatizado dejó un archivo que parecía una imagen JPEG pero contenía PHP y validó rápidamente que podía ejecutar órdenes; después, un operador subió una webshell de la familia ALFA. El informe no cuantifica víctimas ni demuestra que todos los sitios con el plugin estén comprometidos.

-InfraCrew dice: Un archivo con extensión de foto no se vuelve inocuo porque el navegador lo haya mostrado una vez.-

El parche y la actividad observada

YOOtheme publicó 5.0.53 el 21 de octubre. Su changelog identifica la corrección como una ejecución remota no autenticada en el image handler, mientras Unit 42 fija como afectadas las versiones 5.0.0 a 5.0.52. Si el sitio ejecuta una de esas versiones, la actualización indicada es 5.0.53 o posterior; el número debe comprobarse en cada instalación, no deducirse del último paquete que aparece en el pipeline.

El detalle operativo del informe es que el primer archivo se escribió en el directorio de uploads de WordPress y podía sobrevivir al tratamiento de imagen porque el contenido PHP iba embebido en los metadatos de un JPEG. Unit 42 también observó una respuesta HTTP 500 después de la escritura, por lo que un error del servidor no demuestra que la operación no haya dejado un archivo. La telemetría publicada no permite extender ese comportamiento a todas las configuraciones ni a todas las plataformas donde se instala YOOtheme Pro.

El dato de “dos días” se refiere a la primera webshell observada desde el lanzamiento del parche, no al tiempo que tarda cada atacante ni a una garantía de que un sitio haya sido atacado. La publicación de CVE y la disponibilidad de una corrección suelen facilitar la búsqueda de versiones vulnerables, pero el informe solo atribuye a sus sensores los pasos que documenta. No presenta recuentos de sitios afectados ni una tasa de explotación general.

-InfraCrew dice: La cronología de una muestra ayuda a priorizar; no es un SLA que el atacante haya firmado.-

Qué revisar en WordPress y en el plugin

La primera tarea es localizar todos los sitios que usan YOOtheme Pro y obtener la versión instalada, incluidos los que se mantienen desde paneles separados o se despliegan desde una imagen de servidor. El changelog del proveedor sitúa la corrección en 5.0.53. Si el producto se distribuye a través de un proveedor o un paquete integrado, confirma que la actualización llega al componente y no solo al repositorio de despliegue.

En las instalaciones que estuvieron expuestas con una versión afectada, revisa registros del servidor y los directorios donde la aplicación guarda imágenes. Busca archivos ejecutables inesperados entre las cargas de medios y correlaciona su creación con accesos a la ruta del handler, sin asumir que una extensión “.jpg” corresponde a datos de imagen normales. El informe describe un artefacto específico, pero una revisión defensiva no debería limitarse a una sola cadena ni a borrar archivos antes de conservar la evidencia necesaria.

Si aparecen indicadores, aplica el procedimiento de respuesta a incidentes de la organización: preserva registros y artefactos, limita la exposición y determina qué credenciales o procesos podían alcanzar el sitio. Actualizar elimina la vulnerabilidad conocida, pero no retira un webshell que ya se haya escrito. La limpieza debe incluir la verificación de persistencia y de cuentas o archivos modificados, según lo que la investigación encuentre.

-InfraCrew dice: El plugin actualizado cierra la entrada; revisar lo que entró antes sigue siendo otro trabajo.-

La prioridad inmediata es comprobar versiones y actualizar los sitios vulnerables. Después, valida que el handler funciona con las cargas legítimas de imágenes del sitio y que las tareas normales del CMS continúan operativas. El informe de Unit 42 aporta una observación valiosa de explotación temprana, pero no autoriza a concluir que todo WordPress con YOOtheme está infectado; la respuesta debe combinar versión, exposición y evidencia local.

Diccionario de la Crew

RCE — Ejecución de código en un sistema remoto a través de una vulnerabilidad.
Webshell — Archivo colocado en un servidor que permite ejecutar acciones remotas bajo los permisos del proceso web.
JPEG/PHP polyglot — Archivo que puede ser interpretado como imagen JPEG y que también contiene código PHP oculto en una estructura del archivo.

Fuentes

Unit 42 — observación de explotación de CVE-2026-102785
YOOtheme — changelog de YOOtheme Pro