Fallos críticos en plugin The Events Calendar de WordPress ponen en riesgo 600.000 webs

Se han descubierto dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar, que afectan a más de 600,000 instalaciones activas. Estos fallos, detectados por el equipo de Wordfence, podrían permitir que atacantes no autenticados tomen el control total de los sitios web vulnerables mediante la ejecución remota de código, el restablecimiento de contraseñas de administrador y el despliegue de malware, comprometiendo así el servidor por completo.

Dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar podrían permitir que atacantes no autenticados tomen el control de sitios web vulnerables.

Estos fallos afectan a más de 600.000 instalaciones activas. Pueden provocar la ejecución remota de código, el restablecimiento de contraseñas de administrador, el despliegue de malware y el compromiso total del servidor.

Wordfence Argus, desarrollado por el equipo de Threat Intelligence de Wordfence, descubrió las dos cadenas de vulnerabilidades independientes el 21 y 22 de agosto de 2026.

Ambos problemas existen en el proceso de renderizado de widgets del plugin. Pueden ser explotados sin necesidad de iniciar sesión, registrar una cuenta o que haya interacción por tu parte.