CVE-2026-126697: Plugin de WordPress Quick Page/Post Redirect distribuía backdoor oculto

¿Qué es y cómo funciona la falla?

El plugin Quick Page/Post Redirect para WordPress, en versiones anteriores a la 5.2.4, fue distribuido con un mecanismo de actualización oculto. En lugar de usar los servidores oficiales de WordPress.org, el plugin consultaba un servidor controlado por su autor (anadnet.com). En marzo de 2021, este servidor entregó una versión manipulada (5.2.3) que añadió un filtro malicioso. Este filtro, para visitantes no autenticados, obtenía contenido desde https://w.anadnet.com/bro/3/ y lo insertaba en las páginas, observándose principalmente envío de enlaces de spam SEO a rastreadores de motores de búsqueda.

Productos y versiones afectadas

El plugin Quick Page/Post Redirect para WordPress en todas las versiones anteriores a la 5.2.4. La versión 5.2.1 distribuida en WordPress.org ya incluía la biblioteca de actualización oculta. El plugin ha sido cerrado en el directorio oficial de WordPress.org.

Impacto real y explotación

El impacto es la capacidad de un atacante que controle el servidor de actualización para inyectar contenido arbitrario (como enlaces de spam) en las páginas de los sitios afectados y potencialmente entregar código malicioso. Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere una exposición pública limitada. INCIBE-CERT (España) clasifica su severidad como P (Probable).

Indicadores de compromiso (IoC)

• Solicitudes salientes a los dominios anadnet.com o w.anadnet.com.
• Presencia de un directorio updater/ dentro de la carpeta del plugin (wp-content/plugins/quick-pagepost-redirect/).
• Las cadenas filter_the_content_in_the_main_loop, ppr_pro, QQQEND o w.anadnet.com en el archivo principal del plugin.
• El archivo page_post_redirect.php con el hash MD5 ad717da18cf8a2b69899c0d7dafee05a (versión 5.2.3 manipulada).

¿Qué hacer?

Remoción completa: Se recomienda eliminar el plugin Quick Page/Post Redirect de inmediato, ya que ha sido cerrado en WordPress.org.

Limpieza y actualización: Si se debe mantener la funcionalidad, reinstale manualmente la versión limpia 5.2.4 desde WordPress.org, elimine cualquier directorio updater/ residual y verifique los archivos con el comando de WP-CLI: wp plugin verify-checksums quick-pagepost-redirect. Luego, limpie la caché de opcode.

Tratar como comprometido: Cualquier sitio que haya ejecutado la versión manipulada (5.2.3) debe ser tratado como potencialmente comprometido. Se recomienda una investigación de seguridad.

CVE	CVE-2026-126697
Severidad	HIGH
Exposición (Shodan)	sin hosts expuestos detectados actualmente