All in One SEO: dos fallos de seguridad, actualiza ya

All in One SEO, un plugin de SEO para WordPress con más de 2 millones de instalaciones activas, tiene dos fallos de seguridad corregidos, con avisos publicados el 1 y el 2 de octubre de 2026. Uno deja ejecutar shortcodes sin iniciar sesión en la versión 5.0.2 y anteriores. El otro es un XSS que llega hasta la 5.0.1.1. La versión mínima segura es la 5.0.2.1.

Lo que se sabe

  • El fallo sin cuenta: según la ficha de Wordfence del 2 de octubre (CVE-2026-100152), un visitante sin cuenta puede hacer que la web ejecute cualquier shortcode que tenga registrado. Afecta hasta la 5.0.2 incluida. Wordfence le da 6,5 sobre 10, gravedad media.
  • Su condición: la misma ficha dice que solo ocurre si el breadcrumb (la ruta de navegación) de All in One SEO aparece en la página de resultados de búsqueda de la web, puesto con el bloque, el widget, el shortcode o el código de la plantilla.
  • Un segundo aviso del mismo tipo: WPScan publicó el 2 de octubre el CVE-2026-19856, acreditado a Jakub Herman, para las versiones anteriores a la 5.0.2.1. Según WPScan, en las webs que se actualizaron desde versiones antiguas del plugin la protección estaba desactivada del todo.
  • El XSS: la ficha de Wordfence del 1 de octubre (CVE-2026-85492) describe un fallo de tipo XSS hasta la 5.0.1.1, con 6,1 sobre 10. Solo funciona si alguien con permiso para gestionar el SEO en All in One SEO abre su panel «SEO Preview» mientras visita un enlace preparado.
  • Las correcciones: Wordfence da la 5.0.2 como corregida para el XSS y la 5.0.2.1 para los shortcodes. El registro de cambios del plugin anota en la 5.0.2.1 una mejora de las protecciones de seguridad para los shortcodes en las páginas de búsqueda. La versión publicada hoy en wordpress.org es la 5.0.3.
  • Quién lo contó: Search Engine Journal lo publicó el 12 de octubre. Ninguna de las fuentes consultadas habla de ataques en curso.

Qué cambia y qué no

Los dos fallos están en el plugin, no en WordPress. Si tu web no usa All in One SEO, no te afectan.

Si lo usa, la gravedad es media, no crítica. El riesgo real del fallo de los shortcodes depende de qué otros plugins tengas: el atacante solo puede lanzar los shortcodes que ya existen en tu web, como formularios o bloques de contenido. Y depende de que muestres el breadcrumb de All in One SEO en la búsqueda interna.

El XSS no se activa solo: necesita que un administrador o un editor de SEO abra un enlace trampa con el panel de vista previa abierto. Por eso conviene desconfiar de enlaces raros a tu propia web que te lleguen por correo o por chat.

La solución es la misma para los dos: tener la 5.0.2.1 o una posterior.

Cómo saber si te afecta

  1. Mira la versión. En el escritorio de WordPress, entra en Plugins y busca All in One SEO. Si ves la 5.0.2 o anterior, estás en la zona afectada.
  2. Actualiza. Pasa a la última versión disponible (la 5.0.3 en el momento de escribir esto) o, como mínimo, a la 5.0.2.1. Haz antes una copia de seguridad si tu web no la hace sola.
  3. Activa las actualizaciones automáticas de este plugin en la misma pantalla, si tu web no tiene a nadie que las revise cada semana.
  4. Comprueba si estuviste expuesto al fallo sin cuenta. Haz una búsqueda en tu propia web con el buscador interno. Si en la página de resultados aparece la ruta de navegación de All in One SEO (del tipo «Inicio › Resultados de búsqueda»), tu web cumplía la condición mientras tuvo una versión vieja.
  5. Si tu web la lleva otra persona o un hosting gestionado, pregúntale: «¿Qué versión de All in One SEO tiene mi web y cuándo se actualizó a la 5.0.2.1 o posterior?».

Relacionado: Bricksforge: fallo crítico explotado en WordPress, actualiza

Fuentes

Actualizaciones: aquí se añadirá si alguna fuente primaria informa de ataques que usen estos fallos.