CVE-2024-10924 en WordPress: cuando un plugin de seguridad permite entrar como administrador
Publicado el 2026-10-27 por frfrand
El caso real de Really Simple Security: cómo se descubrió, quiénes estaban expuestos, cómo corregirlo y revisar accesos.
El problema: instalar un plugin de seguridad no garantiza estar protegido
En noviembre de 2024 se conoció un fallo crítico de Really Simple Security, antes llamado Really Simple SSL. Es una lección útil: incluso un complemento pensado para proteger un sitio puede introducir un error de autenticación. La vulnerabilidad CVE-2024-10924 podía permitir que alguien sin iniciar sesión accediera como un usuario existente, incluido un administrador, cuando estaba habilitada la función de autenticación de dos factores afectada.
¿Quién lo descubrió y cómo se comunicó?
István Márton, investigador de Wordfence, identificó el problema el 6 de noviembre de 2024. Wordfence inició la divulgación coordinada con el desarrollador. El proveedor publicó parches para versiones de pago el 12 de noviembre y para la versión gratuita el 14 de noviembre; colaboró con WordPress.org para impulsar actualizaciones de seguridad. El comunicado original hablaba de más de cuatro millones de sitios con el plugin instalado entonces: no todos necesariamente vulnerables, porque importan la versión y la configuración.
¿Cómo podía explotarse?
El defecto estaba en el manejo de errores de una función de la API REST relacionada con el segundo factor. En determinados casos, una verificación fallida devolvía un objeto de error, pero el flujo que la llamaba seguía adelante sin bloquear correctamente la autenticación. El riesgo era suplantar un usuario y obtener una sesión con sus privilegios. El fallo no exige romper el cifrado del segundo factor: se salta parte de la lógica que debía hacerlo obligatorio.
¿Por qué era tan grave?
Con acceso de administrador, un atacante puede cambiar usuarios, plugins, contenido y configuraciones. Desde allí puede intentar extraer información o mantener acceso persistente. Wordfence calificó el caso como crítico, 9,8 en CVSS 3.1. Eso no significa que todas las instalaciones WordPress estuvieran comprometidas; significa que las que cumplían las condiciones debían priorizar el parche.
¿Qué instalaciones estaban afectadas?
Las versiones 9.0.0 a 9.1.1.1 de Really Simple Security, incluidas variantes Free, Pro y Pro Multisite, con la autenticación de dos factores afectada habilitada. La versión 9.1.2 introdujo la corrección histórica. Hoy corresponde instalar la versión más reciente y mantenida del plugin, no detenerse en una revisión vieja.
¿Cómo revisar mi WordPress?
Desde el panel, identificá la versión del plugin y el estado de sus funciones de autenticación. Comprobá que WordPress, plugins y temas tienen actualizaciones aplicadas. Revisá usuarios administradores desconocidos, cambios recientes de configuración, sesiones y logs de acceso, especialmente si el sitio estuvo vulnerable. Antes de modificar el sitio, generá una copia de seguridad y conservá evidencias si sospechás una intrusión.
¿Cómo se soluciona?
Actualizá Really Simple Security a una versión parcheada y mantenida, comprobá que el login funciona, revisá sesiones activas y rota credenciales ante señales de compromiso. No alcanza con desactivar momentáneamente un WAF o cambiar el nombre de la ruta de acceso. Si el sitio tiene pedidos o datos personales, tratá la recuperación con prioridad.
Preguntas frecuentes
¿Desactivar el plugin arregla todo? Puede retirar una vía de exposición, pero no corrige el código ni deshace un acceso no autorizado previo.
¿Todos los plugins de seguridad son inseguros? No: este caso muestra por qué también necesitan mantenimiento y auditorías.
¿Cómo se evita algo similar? Inventario de plugins, mínimos privilegios, backups, actualizaciones probadas y supervisión.
Fuentes: Investigación de Wordfence · Ficha CVE y alcance.
¿Dónde seguir las alertas y pedir soporte?
En ArduMaker explicamos nuevas vulnerabilidades y compartimos orientación sobre revisión de versiones, actualizaciones y medidas de contención. Podés consultar la página de CVE y soporte de ArduMaker. Si tu sistema no usa WordPress, indicá igualmente la tecnología, versión y configuración al describir el caso para evaluar qué corresponde revisar. Una alerta publicada no significa que todos los servidores de esa tecnología estén afectados, ni que una actualización pendiente implique una intrusión confirmada.
Actualización editorial: octubre de 2026. Revisá siempre el aviso oficial por posibles cambios de versiones y mitigaciones.
Ejemplo práctico: revisar un WordPress con Really Simple Security
Situación: administrás una academia con alumnos registrados y el complemento Really Simple Security activo. Descubrís que hubo un bypass de autenticación relacionado con la opción de doble factor. La pregunta no es «¿tengo WordPress?», sino ¿usé la versión y la función afectadas?
Desde el VPS, si disponés de WP-CLI y estás en la carpeta correcta del sitio:
wp plugin list --fields=name,version,status --format=table
wp user list --role=administrator --fields=ID,user_login,user_emailAntes: plugin antiguo, 2FA vulnerable y cuentas de administrador sin supervisar. Después: actualización a la versión mantenida, validación del acceso con doble factor, revisión de administradores inesperados y sesiones activas, y rotación de secretos si aparecen indicios de intrusión.
Ejemplo de impacto realista: alguien que consiguiera entrar como administrador podría instalar un plugin o cambiar el destinatario de notificaciones. No significa que eso haya ocurrido: comprobalo con logs y cambios concretos. Si el sitio maneja datos personales, evaluá obligaciones de respuesta al incidente.