La inteligencia artificial está cambiando la velocidad del descubrimiento de vulnerabilidades
Durante años, descubrir una vulnerabilidad crítica de tipo Remote Code Execution (RCE) en WordPress Core era considerado un trabajo reservado para investigadores altamente especializados, que requería semanas o incluso meses de análisis.
Sin embargo, una investigación publicada por Searchlight Cyber demuestra que este paradigma está cambiando.
Utilizando GPT-5.6 Sol Ultra, el equipo logró desarrollar una cadena completa de explotación denominada WP2Shell, combinando dos vulnerabilidades previamente identificadas en WordPress Core hasta obtener ejecución remota de código sin autenticación (Pre-Auth RCE).
El proceso tomó aproximadamente 10 horas de análisis automatizado y un costo cercano a USD 25 en capacidad de cómputo, mientras que brokers especializados en compra de exploits pueden llegar a pagar hasta USD 500.000 por vulnerabilidades Zero-Day equivalentes.
La conclusión es evidente: la inteligencia artificial está reduciendo drásticamente la barrera de entrada para descubrir vulnerabilidades complejas.
¿Qué es WP2Shell?
WP2Shell no corresponde a una única vulnerabilidad. Se trata de una cadena de explotación (Exploit Chain) que combina dos fallas independientes presentes en WordPress Core.
Los investigadores enlazaron la CVE-2026-63030, una vulnerabilidad crítica en el endpoint Batch de la REST API que provoca una confusión entre validación y ejecución de rutas (Route Confusion) y a CVE-2026-60137, una vulnerabilidad SQL Injection presente en WP_Query.
Separadas representan problemas importantes, mientras que combinadas permiten que un atacante anónimo consiga Remote Code Execution sobre una instalación estándar de WordPress, sin necesidad de plugins vulnerables ni credenciales válidas.
¿Cómo logró GPT descubrir la cadena?
Según los investigadores, el modelo no recibió información sobre vulnerabilidades conocidas.
El procedimiento consistió en:
- Eliminar el historial de versiones del código fuente de WordPress para evitar «contaminación»;
- Proporcionar únicamente el código fuente limpio;
- Solicitar al modelo que buscara rutas hacia una RCE preautenticada;
- Ejecutar múltiples agentes de análisis durante varias horas.
El modelo identificó rápidamente la inconsistencia en la REST API.
Posteriormente fue capaz de:
- Detectar la SQL Injection;
- Utilizarla para extraer información sensible;
- Construir una cadena de escalamiento de privilegios;
- Abusar de mecanismos internos de WordPress;
- Finalizar con la carga de código arbitrario mediante un plugin malicioso.
Los investigadores indican que buena parte de esta cadena habría requerido semanas de trabajo manual para un analista experimentado.
Versiones afectadas
La explotación completa afecta principalmente a:
| Versión | Riesgo |
| WordPress 6.9.0 – 6.9.4 | RCE Pre-Auth |
| WordPress 7.0.0 – 7.0.1 | RCE Pre-Auth |
Mientras que la vulnerabilidad SQL Injection también afecta:
- WordPress 6.8.0 – 6.8.5
Las versiones corregidas son:
- WordPress 6.8.6
- WordPress 6.9.5
- WordPress 7.0.2
Debido a la gravedad del problema, WordPress activó actualizaciones automáticas forzadas para numerosas instalaciones afectadas.
¿Qué implica esto para la ciberseguridad?
Más allá del impacto específico sobre WordPress, esta investigación marca un cambio relevante para la industria, no porque la inteligencia artificial haya reemplazado al investigador, sino porque demuestra cómo puede potenciar su trabajo.
En este caso, fue el investigador Adam Kues quien definió el objetivo, preparó el código fuente, formuló las instrucciones adecuadas y validó cada uno de los hallazgos obtenidos por el modelo. La IA no actuó de forma autónoma: funcionó como una herramienta capaz de acelerar el análisis, identificar relaciones complejas entre componentes y proponer rutas de explotación que posteriormente debieron ser verificadas por un especialista.
Esto representa una evolución del proceso tradicional de investigación de vulnerabilidades. Si antes el ciclo seguía una secuencia como Investigador → Vulnerabilidad → PoC → Explotación, hoy comienza a incorporar una nueva etapa en la que el investigador utiliza modelos de IA para ampliar y acelerar sus capacidades de análisis: Investigador → IA → Descubrimiento → Validación → Cadena de explotación.
La principal consecuencia es que los tiempos de investigación pueden reducirse considerablemente. Es probable que aumente el número de análisis automatizados sobre software ampliamente utilizado, disminuyendo la ventana disponible para que fabricantes y organizaciones apliquen parches antes de que aparezcan pruebas de concepto o intentos de explotación. Al mismo tiempo, estas mismas capacidades podrán ser aprovechadas tanto por investigadores de seguridad como por actores maliciosos.
Más que sustituir el conocimiento humano, la inteligencia artificial está redefiniendo la forma en que se realiza la investigación en ciberseguridad. Quienes logren combinar la experiencia técnica de los especialistas con el potencial de estas herramientas tendrán una ventaja significativa, tanto en la detección temprana de vulnerabilidades como en la capacidad de responder a un panorama de amenazas que evoluciona cada vez con mayor velocidad.
Recomendaciones para empresas y equipos de ciberseguridad
Desde una perspectiva defensiva, las organizaciones deberían considerar las siguientes acciones:
- Actualizar inmediatamente WordPress
Verificar que todas las instalaciones ejecuten versiones corregidas:
- 6.8.6
- 6.9.5
- 7.0.2 o superior.
- Inventariar todos los sitios WordPress
Muchas organizaciones mantienen sitios desarrollados hace años que permanecen fuera del control del área TI.
Estos activos suelen transformarse en puertas de entrada para atacantes.
- Revisar exposición de la REST API
Evaluar qué endpoints permanecen expuestos públicamente y restringir aquellos que no sean estrictamente necesarios.
- Implementar protección WAF
Mientras se despliegan actualizaciones, un Web Application Firewall puede reducir la superficie de ataque bloqueando intentos conocidos de explotación.
No obstante, debe considerarse únicamente como una medida temporal y no como reemplazo del parche oficial.
- Fortalecer el monitoreo
Implementar monitoreo continuo sobre:
- Creación de nuevos usuarios administradores;
- Instalación de plugins;
- Modificaciones de archivos del Core;
- Cambios en la configuración del sitio;
- Ejecución de procesos PHP inusuales.
Indicadores de Compromiso (IoC)
Si bien la investigación no publica indicadores de compromiso específicos debido a la naturaleza reciente de la vulnerabilidad, los equipos defensivos deberían prestar especial atención a:
Rutas involucradas
/wp-json/batch/v1
y solicitudes que utilicen:
rest_route=/batch/v1
Eventos sospechosos
- Creación inesperada de cuentas con privilegios administrativos;
- Instalación automática de plugins desconocidos;
- Aparición de archivos PHP no autorizados en wp-content/plugins/;
- Modificaciones recientes en wp_options;
- Cambios no planificados en temas o plugins;
- Actividad anómala sobre la REST API.
Registros HTTP
Buscar solicitudes repetitivas hacia:
POST /wp-json/batch/v1
Especialmente provenientes de:
- Direcciones IP desconocidas;
- User-Agent poco habituales;
- Múltiples intentos consecutivos con errores 400 o 500.
Conclusión
La historia detrás de WP2Shell probablemente será recordada no solo por la severidad de la vulnerabilidad, sino porque evidencia un cambio profundo en la investigación de seguridad ofensiva. Herramientas basadas en inteligencia artificial ya son capaces de identificar relaciones complejas entre vulnerabilidades, construir cadenas de explotación y reducir significativamente el tiempo necesario para llegar a una prueba de concepto funcional.
Para las organizaciones, el mensaje es claro: la velocidad con que evolucionan las capacidades de descubrimiento exige fortalecer la gestión de vulnerabilidades, mantener procesos ágiles de parcheo y complementar la protección con monitoreo continuo, inteligencia de amenazas y controles capaces de detectar comportamientos anómalos antes de que una vulnerabilidad se convierta en un incidente de seguridad. En un escenario donde la IA acelera tanto la defensa como el ataque, reducir la ventana de exposición será uno de los principales desafíos para los equipos de ciberseguridad.
Referencias:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
