Fallo en Ultra Addons for Contact Form 7 (CVSS 9,8): qué deben comprobar hoy las agencias

El 2 de noviembre de 2026, Wordfence publicó un fallo crítico en Ultra Addons for Contact Form 7, un plugin con más de 60.000 instalaciones activas. Tiene un CVSS de 9,8, no requiere iniciar sesión y puede borrar cualquier archivo del servidor, incluido wp-config.php. Hace semanas que hay una versión corregida, así que para la mayoría de las agencias es una comprobación rápida. Aquí verás a quién afecta, cómo comprobar un sitio de cliente en dos minutos y qué hacer si un sitio ya se ve mal.

Qué es el fallo

• Identificador: CVE-2026-102435, CVSS 9,8 (crítico), notificado a través de Wordfence.
• Tipo: inyección de objetos PHP sin autenticación a través de un campo de formulario de Contact Form 7, que permite borrar archivos arbitrarios.
• Por qué importa: borrar wp-config.php devuelve WordPress a su pantalla de instalación. Quien complete esa pantalla puede apuntar el sitio a su propia base de datos y tomar el control.

A quién afecta

Sitios con Ultra Addons for Contact Form 7 en la versión 3.5.54 o anterior, con el complemento PDF Generator activado y al menos un formulario configurado para generar un PDF. Los sitios que tienen el plugin pero no usan la función PDF no están expuestos a esta cadena, pero deben actualizar igualmente. La versión actual es la 3.5.57; la corrección llegó en las versiones posteriores a la 3.5.54.

No encontramos ataques confirmados en las fuentes que revisamos el 5 de noviembre de 2026. Algunos boletines de seguridad dicen que circulan detalles de explotación, y un 9,8 sin inicio de sesión es el tipo de fallo que se escanea rápido. No esperes a tener pruebas de ataques.

Comprueba un sitio en dos minutos

1. En wp-admin: Plugins, busca «Ultra Addons». Anota la versión. Si es la 3.5.54 o inferior, abre los ajustes de complementos del plugin y mira si PDF Generator está activado.
2. Con WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Ejecútalo en todos los sitios de clientes para obtener una sola lista.
3. Mira la parte pública: si el sitio muestra de repente la pantalla de instalación de WordPress o la de «crear un archivo de configuración», wp-config.php ha desaparecido. Trátalo como un incidente (ver abajo).

Qué hacer ahora

1. Actualiza a la 3.5.57 en todos los sitios que tengan el plugin, con o sin la función PDF.
2. Prueba un formulario tras la actualización. Envíalo, comprueba que llega el correo y, si generas PDF, que el PDF va adjunto. Las versiones recientes también cambiaron la subida de archivos y el manejo de PDF.
3. ¿No puedes actualizar hoy? Desactiva el complemento PDF Generator hasta que puedas.
4. Si un sitio muestra la pantalla de instalación: no la completes. Desconecta el sitio en el hosting, restaura archivos y base de datos desde una copia anterior al problema, actualiza el plugin y después cambia las contraseñas de la base de datos y de los administradores y las claves salt en wp-config.php. Busca cuentas de administrador y archivos desconocidos. Nuestra rutina para un día de vulnerabilidad y la guía de restauración tienen todos los pasos.

Cómo ayuda Verploy

Cada actualización se comprueba. Las arriesgadas se prueban primero en una copia, incluidos los formularios. Las vulnerabilidades conocidas aparecen por sitio con un enlace a la fuente, así que un solo panel te dice qué sitios de clientes siguen en la 3.5.54 o anterior. Las copias de seguridad nocturnas cifradas en la UE te dan un punto limpio al que volver. Más sobre la monitorización de vulnerabilidades para agencias.

Fuente: registro CVE-2026-102435 (asignado por Wordfence), publicado el 2 de noviembre de 2026, wordfence.com; página y registro de cambios del plugin, wordpress.org. Comprobado el 5 de noviembre de 2026.