WPVulnerability y Kirki acumulan vulnerabilidades de escalada de privilegios en 2026: un suscriptor puede ejecutar acciones de administrador o directamente asignarse el rol sin autenticación. Versiones afectadas, parches y pasos para proteger tu sitio.
El reporte de Wordfence Intelligence del 1 al 7 de junio de 2026 registró 74 vulnerabilidades en WordPress, con 3 fallas críticas que requieren acción inmediata. Kirki Freeform Page Builder expuso 500.000 sitios a escalada de privilegios sin autenticación.
CVE-2026-8206 y CVE-2026-8181: dos fallas CVSS 9.8 en Kirki y Burst Statistics exponen más de 700k sitios WordPress bajo ataque activo confirmado por Defiant.
Kirki CVE-2026-8206 (CVSS 9.8) y Burst Statistics CVE-2026-8181 (CVSS 9.5): dos vulnerabilidades críticas bajo explotación activa que afectan más de 700,000 sitios WordPress.
Kirki 6.0.6 y anteriores tienen una falla crítica que permite escalar privilegios sin autenticación. El parche está en la versión 6.0.7.
CVE-2026-8073 afecta Kirki hasta la versión 6.0.6 y permite borrar archivos de uploads sin login. Parche disponible en 6.0.7 desde el 18 de mayo de 2026.